如何替换或优化Shell脚本中的eval命令并增强安全性

安全阿岳

2026-6-23

问题描述

我想写一个函数，实现以下功能：

接收命令，将命令结果通过管道传给进度对话框（progress dialog）
保留命令的退出状态码（exit status）
能把命令的stdout结果捕获到变量里

但因为在命令替换里展开变量时无法正确解析（比如$("${command[@]}")），目前只能用eval实现功能。

关于eval的争议：很多观点认为eval“有害”且完全可以替代，但也有观点认为在没有不可信用户输入的场景下使用是安全的，而且Shell本身也存在其他隐式评估的风险。

我有几个具体疑问：

怎么修改这个函数才能避免用eval或者其他有风险的评估技术？或者怎么对现有代码做安全加固？
函数的eval输入可能来自：显式构造的命令字符串、展开后的变量、变量名引用；涉及git、dialog命令，还有git命令里的worktreeName变量——这个变量可能来自git worktree list或者dialog输入。只有当worktreeName来自dialog输入时才有风险，用${worktreeName@Q}做单引号转义够不够？要不要额外的清理（sanitize）措施？
eval "${diaCom[@]@E} >/dev/tty"这种双引号写法够安全吗？用进程替换（process substitution）{...}和@E转义能不能提升安全性？还有其他加固手段吗？

原始实现代码

# Evaluates a command to process and a dialog command to display progress with, each either from a var name reference, a var or a string
# 
# arg1:    -q/-Q for quiet mode
# arg1/2:  command to evaluate and process
# arg2/3:  dialog command evaluate result with
getDialogCmdResultAndExitStatus() {

    local quiet
    # Set quiet mode, if 1st flag is '-q/-Q'
    for arg; do
        if [[ $arg =~ ^-[[:alnum:]] ]]; then
            if [[ ${arg^^} != '-Q' ]]; then
                echo -e "Invalild argument: $arg"
                exit 1
            fi
            quiet='TRUE'
        fi
    done

    [[ $quiet ]] && shift
    
    local -a com
    local -n cRef
    # Get command from string or var
    if ! declare -p "$1" &>/dev/null; then 
        com="$1"
    # From var name reference
    else
        cRef=$1
        com="${cRef[@]}"
    fi
    
    local -a diaCom
    local -n diaComRef
    # Get dialog command from string or var
    if ! declare -p "$2" &>/dev/null; then 
        diaCom="$2"
    # From var name reference
    else
        diaComRef=$2
        diaCom="${diaComRef[@]}"
    fi
    
    # Evaluate command to process and result with dialog command

    # Quiet, only return exit status
    if [[ $quiet ]]; then
        { eval "${com[@]@E} 2>&1" | eval "${diaCom[@]@E} >/dev/tty"; return ${PIPESTATUS[0]}; } 3>&1
    # Output command result to stdout and return exit status
    else
        { eval "${com[@]@E} 2>&1" | tee >(cat - >&3) | eval "${diaCom[@]@E} >/dev/tty"; return ${PIPESTATUS[0]}; } 3>&1
    fi
}


# Prepare commands (utilizing functions from examples above)
declare worktreeName='release/r3.14'
declare command="gitRemoveWtCmd ${worktreeName@Q}"
declare dialogCmd="dialog_programbox '\Zb\Z1Deleting local worktree...' 20 120"

# Store and limit IFS to newlines
_IFS="$IFS"; IFS=$'\n'

# Capture command's stdout and stderr + real-time displaying with dialog;
# first line after output capturing: get pipe/exit status of processed command
cmdOutput=( $(getDialogCmdResultAndExitStatus command dialogCmd) )
exitStatus=$?
if [[ $exitStatus -ne 0 ]]; then
    echo -e "Operation failed with exit code: $exitStatus"
fi

# Restore IFS to defaults
IFS="$_IFS"

解决方案

一、避免使用`eval`的重构方案

核心思路是始终用数组存储命令及其参数，而非字符串，彻底避开命令解析问题，摆脱eval依赖。

1. 重构后的函数

getDialogCmdResultAndExitStatus() {
    local quiet=0
    # 处理安静模式参数
    if [[ $1 == '-Q' || $1 == '-q' ]]; then
        quiet=1
        shift
    elif [[ $1 =~ ^-[[:alnum:]] ]]; then
        echo -e "Invalid argument: $1"
        exit 1
    fi

    # 接收命令数组和dialog命令数组的引用
    local -n cmd_ref=$1
    local -n dia_cmd_ref=$2

    # 执行逻辑，完全无需eval
    if (( quiet )); then
        { "${cmd_ref[@]}" 2>&1 | "${dia_cmd_ref[@]}" >/dev/tty; return ${PIPESTATUS[0]}; } 3>&1
    else
        { "${cmd_ref[@]}" 2>&1 | tee >(cat - >&3) | "${dia_cmd_ref[@]}" >/dev/tty; return ${PIPESTATUS[0]}; } 3>&1
    fi
}

2. 调整调用方式

将命令和dialog命令定义为数组，而非字符串：

declare worktreeName='release/r3.14'
# 用数组存储命令，参数自动独立拆分
declare -a command=(gitRemoveWtCmd "$worktreeName")
# dialog命令同样用数组存储，转义序列直接保留
declare -a dialogCmd=(dialog_programbox '\Zb\Z1Deleting local worktree...' 20 120)

# 捕获输出和退出状态
_IFS="$IFS"; IFS=$'\n'
cmdOutput=( $(getDialogCmdResultAndExitStatus command dialogCmd) )
exitStatus=$?
IFS="$_IFS"

if [[ $exitStatus -ne 0 ]]; then
    echo -e "Operation failed with exit code: $exitStatus"
fi

该方案优势：

完全规避eval，参数由Shell自动解析，不会出现引号、空格解析错误
天然避免命令注入风险，数组每个元素都是独立参数，不会被当作Shell语法解析

二、输入安全加固（针对`worktreeName`来自用户输入的场景）

仅用${worktreeName@Q}转义不够，需结合以下措施：

1. 严格输入验证

对worktreeName做格式检查，只允许合法字符（符合git worktree命名规则）：

if [[ ! $worktreeName =~ ^[a-zA-Z0-9/_.-]+$ ]]; then
    echo "Invalid worktree name: $worktreeName"
    exit 1
fi

过滤掉;、&、$等特殊字符，从源头减少风险。

2. 强制用数组传递参数

即使做了转义，字符串拼接命令仍有风险，数组是传递参数最安全的方式——每个元素会被当作完整独立的参数传递，不会触发Shell解析：

declare -a command=(gitRemoveWtCmd "$worktreeName")

3. 禁止直接拼接命令字符串

永远不要将用户输入直接拼接到命令字符串中（比如command="gitRemoveWtCmd $worktreeName"），这种写法天生高危。

三、dialog命令的安全处理

1. 用数组替代字符串存储dialog命令

和普通命令一致，将dialog命令及其参数存入数组，避免eval：

declare -a dialogCmd=(dialog_programbox '\Zb\Z1Deleting local worktree...' 20 120)

调用时直接用"${dia_cmd_ref[@]}"，无需任何转义或eval。

2. 关于`@E`转义和进程替换

@E转义仅在需要将数组转为可解析字符串时有用，用数组传递参数时完全不需要
进程替换>(...)本身安全，只是创建管道，不会引入额外解析风险，原始代码中的使用方式没问题，但结合数组后无需配合eval

3. 额外加固措施

如果dialog的标题/内容包含用户输入，需过滤dialog特殊转义字符（如\Z），避免破坏格式或触发意外行为
确保dialog的命令选项由你控制，不要让用户输入直接作为选项（仅允许--后的参数来自用户输入）

总结

最优方案是用数组存储所有命令和参数，彻底摆脱eval，既解决参数解析问题，又从根源避免命令注入风险
针对不可信输入，必须做严格格式验证，再配合数组传递参数，比单纯转义更可靠
不要依赖eval的转义机制，数组是Shell中处理命令参数最安全的方式

内容的提问来源于stack exchange，提问作者fozzybear

如何替换或优化Shell脚本中的eval命令并增强安全性

原始实现代码 #

解决方案 #

一、避免使用eval的重构方案 #