Docker容器中K8s来源含连续特殊字符的环境变量Bash转义问题

问题说明 #

容器从K8s清单获取环境变量后，需在容器内通过ARG处理带特殊字符的ENV值以定义本地变量。当前需解决：如何在Bash中正确转义字符串变量里的特殊字符，尤其是连续出现的@@、$$这类字符。

此前尝试过两种方法，但处理连续$$时均失效：

尝试方法1 #

INPUT=hello/P@$$w0rd
arrIN=(${INPUT//\// })
USER=${arrIN[0]}
PASSWORD=${arrIN[1]}
USER=`echo $USER | ( read -rsd '' x; echo ${x@Q} )`
PASSWORD="$(echo "$PASSWORD" | sed -e 's/[()&$]/\\&/g')"

尝试方法2 #

function escape_str () {
  echo "$1" | sed 's/\\/\\\\/g' | sed 's/"/\\"/g' | sed 's/\$/\\$/g'
}
PASSWORD=$(escape_str "$PASSWORD")

测试用例 #

输入字符串：Hello/P@$$w0rd
期望输出结果：

• USER=Hello
• PASSWORD=P@$$w0rd

适配场景：Dockerfile #

要求上述字符处理逻辑能在Dockerfile中生效，现有示例Dockerfile如下：

ARG CREDENTIALS
ENV USER "${CREDENTIALS%/*}"
ENV PASSWORD "${CREDENTIALS#*/}"
CMD echo USER: $USER PASSWORD: $PASSWORD

注：原运行命令存在参数使用错误（--build-arg是docker build的参数，而非docker run），正确的构建/运行命令示例如下：

# 构建镜像时传递ARG
$ docker build --build-arg CREDENTIALS='Hello/P@$$w0rd' -t me/myimage:latest .
# 运行容器时传递环境变量（若无需构建时传入）
$ docker run -dt -e CREDENTIALS='Hello/P@$$w0rd' me/myimage:latest

解决方案 #

核心原理 #

Bash中$$是特殊变量（代表当前进程PID），直接赋值会被Shell自动解析替换。要保留原始字符，需从字符串传递和变量处理两个环节规避解析：

1. 传递字符串时的正确姿势
   传递含特殊字符的字符串时，必须用单引号包裹，避免本地Shell解析特殊变量：

   # 本地脚本赋值示例
   INPUT='Hello/P@$$w0rd'
   # Docker构建/运行时传递参数
   docker build --build-arg CREDENTIALS='Hello/P@$$w0rd' ...
   

2. Bash内处理字符串的简化方法
   无需复杂的sed转义或数组分割，直接用Bash参数扩展分割字符串，且始终用双引号包裹变量，防止分词和特殊字符解析：

   INPUT='Hello/P@$$w0rd'
   # 参数扩展分割，完全保留原始字符
   USER="${INPUT%/*}"
   PASSWORD="${INPUT#*/}"
   # 输出时用双引号包裹，避免解析
   echo "USER=$USER"
   echo "PASSWORD=$PASSWORD"
   

3. 适配Dockerfile的优化写法
   直接用参数扩展处理ARG，同时改用exec形式的CMD，避免Shell层的额外解析：

   ARG CREDENTIALS
   ENV USER="${CREDENTIALS%/*}"
   ENV PASSWORD="${CREDENTIALS#*/}"
   # 用exec形式+双引号包裹变量，确保特殊字符完整保留
   CMD ["bash", "-c", "echo USER: \"$USER\" PASSWORD: \"$PASSWORD\""]
   

关键注意点 #

• 赋值/传递字符串时，用单引号包裹，彻底避免Shell解析特殊变量。
• 处理和输出变量时，始终用双引号包裹，防止分词和特殊字符被解析。
• Dockerfile中优先使用exec形式的CMD/ENTRYPOINT，减少Shell层的解析干扰。

内容的提问来源于stack exchange，提问作者khteh