Bash中嵌套命令的echo正确用法：语法修复与命令注入防护

错误原因分析 #

你遇到的command not found错误，核心是**$()内部错误添加了双引号**。$()的作用是执行括号内的命令并捕获输出，但你在括号里把整个命令串用双引号包裹后，bash会把整个字符串（比如echo '{"key":"value"}' | jq ...）当成一个完整的命令名去系统路径中查找，自然找不到对应命令，从而报错。

正确写法与安全优化 #

1. 修复基础语法错误 #

首先移除$()内部的双引号，同时合并两次jq调用（无需分两次管道，一次即可完成过滤）：

RESPONSE=$(curl ...)
FILTERED=$(echo "$RESPONSE" | jq '.[] | .name' -r | head -1)

2. 彻底避免命令注入风险 #

直接用echo "$RESPONSE"仍存在潜在风险：如果curl返回的内容包含shell元字符（比如、$、;等），可能被shell解析执行。更安全的方式是使用bash here-string，直接将变量内容传递给jq，不经过shell解析：

RESPONSE=$(curl ...)
FILTERED=$(jq '.[] | .name' -r <<< "$RESPONSE" | head -1)

如果你的系统不支持here-string（比如老旧版本bash），可以用printf替代echo，同样能避免解析风险：

RESPONSE=$(curl ...)
FILTERED=$(printf '%s\n' "$RESPONSE" | jq '.[] | .name' -r | head -1)

错误尝试的问题说明 #

• 你尝试的FILTERED=$("echo \"$RESPONSE\" | ...")：仍保留了$()内部的双引号，本质错误未修复，依然会把整个串当成命令名查找。
• 你尝试的FILTERED=$("$RESPONSE | ...")：直接把RESPONSE的内容作为命令的一部分，完全不符合语法逻辑，必然报错。

内容的提问来源于stack exchange，提问作者Daniel W.