使用 printf %q 使带引号的字符串可用作 shell 脚本输入

Question

在 bash 脚本中，我尝试将单引号和双引号的命令字符串附加到文件 (.profile)。

我想使用echo 然后>> 命令到.profile。当然，我愿意接受任何可行的解决方案。

我想使用的命令是 echo "curl -X POST -H "Content-Type: application/json" -d '{"value1":"PHONENUMBER","value2":"MESSAGE"}' https://maker.ifttt.com/trigger/TRIGGER/with/key/KEY &> /dev/null" >> .profile，但显然这在我的 bash 脚本中不起作用。

我不清楚printf %q 的工作原理，也不明白如何将其应用于我的问题。

我试过了

`CMDSTRING='curl -X POST -H "Content-Type: application/json" -d '`
`CMDSTRING=${CMDSTRING}"'"`
`CMDSTRING=${CMDSTRING}'{"value1":"+PHONENUMBER","value2":"MESSAGE"}'`
`CMDSTRING=${CMDSTRING}"'"`
`CMDSTRING=${CMDSTRING}' https://maker.ifttt.com/trigger/TRIGGER/with/key/KEY &> /dev/null'`

`echo $CMDSTRING`

Answer 1

使用printf '%q' 生成.profile 内容如下所示：

{
  printf '%q ' \
    curl -X POST -H "Content-Type: application/json" \
      -d '{"value1":"PHONENUMBER","value2":"MESSAGE"}' \
      https://maker.ifttt.com/trigger/TRIGGER/with/key/KEY
  printf '%s\n' "&>/dev/null" 
} >> .profile

请注意，如果您希望将&>/dev/null 解析为语法，则不能使用%q 格式字符串，因为就其本质而言，它会格式化所有传递以解析为数据的内容。

因此，我们将printf '%q ' "command name" "first argument" ... 用于实际命令本身，并格式化带外重定向。

---

也就是说，请注意，只有当您从不受信任的来源替换变量（而不是像示例中那样对它们进行硬编码）并且担心无效值被滥用时，上述内容才有 值用于命令注入。如果您真的只是在文件末尾附加一个常量字符串，引用的 heredoc 将让您手动构建更自然的 shell 引用（实际上，正如您已经完成的那样！），并逐字传递：

cat >>.profile <<'EOF'
curl -X POST -H "Content-Type: application/json" \
  -d '{"value1":"PHONENUMBER","value2":"MESSAGE"}' \
  https://maker.ifttt.com/trigger/TRIGGER/with/key/KEY &> /dev/null
EOF

这里，<<'EOF' 和 EOF 之间的所有内容都通过完全原样传递，包括引号和 shell 可能尝试解释的参数扩展。