使用bash eval执行复杂单引号字符串时的命令识别问题

问题场景 #

构造了如下命令字符串准备通过eval执行：

finalcommand='for user in $(aws iam list-users --output text  --profile myprofile --region us-west-2  | awk '\'' {  print $NF } '\''  );  do aws iam list-access-keys --user $user --output json  --profile profile --region us-west-2  ; done | jq -r . | aha --black | tee /home/mycompany/outputhtml-myprofile2343.html'

执行语句为：

result=$( eval $finalcommand )

出现错误：

/scriptcommandbuilder.sh: line 221: for user in $(aws iam list-users --output text --profile myprofile --region us-west-2 | awk ' { print $NF } ' ); do aws iam list-access-keys --user $user --output json --profile myprofile --region us-west-2 ; done | jq -r . | aha --black | tee /home/mycompany/outputhtml-2342343.html: No such file or directory

手动去掉字符串首尾引号后再传eval，又触发：unexpected EOF while looking for matching '''，但直接复制字符串到终端执行正常。

错误原因 #

1. 未加双引号的eval $finalcommand：变量展开后，bash会破坏内部的引号转义，将整个命令字符串识别为单个文件名而非可执行命令。
2. 手动去除首尾引号：原字符串中'\''是单引号字符串内嵌入单引号的标准转义写法，去除首尾引号后，转义结构失效，导致单引号未闭合。

解决方案 #

方案1：给变量加双引号传递给eval（快速修复） #

修改执行语句，用双引号包裹$finalcommand，保留变量内部的转义和空格结构，让eval正确解析命令：

result=$( eval "$finalcommand" )

方案2：避免使用eval（推荐） #

eval存在安全风险和解析陷阱，更优方式是将逻辑封装为函数：

get_iam_access_keys_report() {
  local profile="myprofile"
  local region="us-west-2"
  local output_file="/home/mycompany/outputhtml-myprofile2343.html"
  
  # 遍历IAM用户，获取每个用户的访问密钥
  aws iam list-users --output text --profile "$profile" --region "$region" | 
    awk '{ print $NF }' | 
    while read -r user; do
      aws iam list-access-keys --user "$user" --output json --profile "$profile" --region "$region"
    done | 
    jq -r . | 
    aha --black | 
    tee "$output_file"
}

# 执行函数并捕获结果
result=$( get_iam_access_keys_report )

这种方式无需处理复杂的字符串转义，代码可读性和安全性更高。

内容的提问来源于stack exchange，提问作者Eric Tork