如何以安全的方式将未知 shell 变量的内容写入标准输出

Question

到目前为止，我只知道我所读到的内容，而且我对如何按原样实际回显变量感到困惑。

• 如果var='-n'，echo "$var" 可能会失败
• printf '%s\n' "$var" 可能会因为 shell 未实现而失败printf
• echo -- "$var" 可能会失败，因为它是 gnu 扩展

所以如果我不得不猜测：

echo x"$var"|sed 's#^x##1' 将是唯一的方法，但我从未遇到过这种模式。为什么？

---

作为一个具体的问题：

for source; do
  target="$(echo "$source"|sed 's#[^a-z0-9]\+#.#')"
  # do stuff with $source and $target
done

如果我的脚本是由某个 my_script * cron 执行的，这是否可行，或者有人可以通过将名为“-n”的文件放在某处来“破解”/“破坏”我的脚本？

我如何写echo "$var" 使其不会中断？

Answer 1

这行得通吗，或者有人可以通过放置来“破解”/“破坏”我的脚本 在某处有一个名为“-n”的文件？

没有错：

target="$(echo "$source"|sed 's#[^a-z0-9]\+#.#')"

发生了什么：

• "$(...)" 是一个命令替换，它将替换命令的结果作为值——在这种情况下，结果被分配给target。
• echo "$source"|sed 's#[^a-z0-9]\+#.#' 简单地将echo 的输出（例如source 中的内容）传递给sed，以便将每个字符（不是小写字母或数字后跟+）简单替换为期间 ¹。注意：$source 周围的引号 ".." 在命令替换中是正确的。
• 没有内在的原因将-n 分配给变量会导致任何恶作剧。你对变量做了什么是另一个问题，但只要说很难看到任何问题就足够了。
• “POSIX-shell 没有实现printf”——嗯？任何没有实现printf 的shell 将更像是一个例外而不是规则。请参阅printf - The Open Group Library，即 POSIX。

如果您尝试以'-' 开头的printf 输出，只需在输出前面加上"--" 以在您要打印的字符串之前指示End-of-Options去好。以"-n" 为例，printf 是您输出以单个'-' 开头的变量的唯一方法，例如：

$ t="-n"

$ printf -- "%s\n" "$t"
-n

(注意：您不必在printf "%s\n" "$var" 中包含"--"，您必须将其包含在printf -- "-foo\n" 中的唯一情况是，否则您将收到"invalid option error"。

对于echo，您可以使用-e 启用反斜杠转义解释，并包含一个退格，例如

$ echo -e " \b$t"
-n

我认为这涵盖了所有问题。如果没有，请告诉我。此外，如果您有任何其他问题，请在下方发表评论或编辑并添加到您的问题中。

脚注：

1. 注意：+ 不是基本正则表达式的一部分，不需要转义，但如果有任何问题，包含在字符类中会更安全 自己的，例如[^a-z0-9][+]。