pfSense 23.01中Shell脚本无法正常执行多条easyrule命令的问题

环境背景 #

基于FreeBSD 14.0的pfSense 23.01系统，具备Ubuntu bash脚本使用经验，但对FreeBSD原生sh不熟悉。

初始问题：单行多命令脚本仅执行第一条 #

命令行中执行以下命令可正常完成两条规则添加：

sudo easyrule block lan 192.168.1.20 ; sudo easyrule block lan 192.168.1.21 ;

但将相同内容写入#!/bin/sh脚本后，仅第一条命令生效，第二条被完全忽略。

临时解决方式 #

将命令分两行编写后，脚本可正常执行两条命令：

#!/bin/sh
sudo easyrule block lan 192.168.1.20 ;
sudo easyrule block lan 192.168.1.21 ;

新问题：动态拼接命令变量执行异常 #

尝试通过字符串拼接构建命令变量并执行，但多种写法均存在问题：

1. 仅执行第一条命令：

command=$command" sudo easyrule block lan 192.168.1.20 ;\n"
command=$command" sudo easyrule block lan 192.168.1.21 ;"
$command

2. 同样仅执行第一条命令：

command=$command" sudo easyrule block lan 192.168.1.20 ;"$'\n'
command=$command" sudo easyrule block lan 192.168.1.21 ;"
$command

3. 完全无法运行：

command=$command" sudo easyrule block lan 192.168.1.20 ;"$'\n'
command=$command" sudo easyrule block lan 192.168.1.21 ;"
"$command"

注：因Netgate不建议在pfSense上安装bash（避免引入额外攻击面），需使用原生sh解决问题。

解决方案 #

1. 单行多命令失效原因 #

FreeBSD的原生sh（即ash）严格遵循POSIX标准，对单行内的命令分隔符解析逻辑与bash存在差异：当单行内包含多个分号分隔的命令时，若命令长度或格式触发解析截断，就会导致后续命令被忽略。分两行写本质是规避了单行解析的边界问题，但无法解决动态命令拼接的需求。

2. 动态执行多条命令的正确姿势 #

方法1：用数组存储命令（推荐）

这是符合POSIX标准的安全写法，避免字符串解析问题：

#!/bin/sh
# 定义命令列表数组
commands=(
    "sudo easyrule block lan 192.168.1.20"
    "sudo easyrule block lan 192.168.1.21"
)

# 循环执行每条命令
for cmd in "${commands[@]}"; do
    $cmd
done

方法2：用eval执行拼接的命令字符串

若必须通过字符串拼接实现，可使用eval确保分号被正确解析（仅在命令内容可控时使用，避免注入风险）：

#!/bin/sh
command=""
command=$command"sudo easyrule block lan 192.168.1.20; "
command=$command"sudo easyrule block lan 192.168.1.21;"

eval "$command"

方法3：逐行动态添加并执行

如果是动态生成命令，可每添加一条就执行一条，完全避免字符串拼接的解析问题：

#!/bin/sh
# 动态生成并执行第一条命令
sudo easyrule block lan 192.168.1.20
# 动态生成并执行第二条命令
sudo easyrule block lan 192.168.1.21

关键说明 #

FreeBSD的sh与bash核心差异在于：bash对字符串中的换行、分号解析更宽松，而sh严格遵循POSIX规范，直接执行拼接字符串时，换行符不会被解析为命令分隔符，仅分号生效，但拼接过程中若存在转义或格式问题，就会导致后续命令无法被识别。使用数组或循环是更可靠的写法。

内容的提问来源于stack exchange，提问作者Dr Phil