如何修复用于快速验证Kubernetes证书的Bash工具函数？

Kubernetes中的证书存在两种存储形式：部分以base64编码嵌入YAML文件，部分是磁盘上的明文证书。我编写了两个Bash函数用于快速做MD5校验和查看证书内容，但均存在问题：

• md5cert函数：通过变量拼接管道命令时，因引号处理不当导致命令无法正常执行
• readcert函数：处理证书内容时丢失换行符，导致OpenSSL无法正确读取证书

修复md5cert函数 #

原函数核心问题是采用字符串拼接命令的方式，引发Shell分词、引号转义错误。修复时直接通过管道串联命令，并用数组存储命令参数避免解析问题。

修复后的代码：

function md5cert()
{
    md5cert_usage() { echo "md5cert: [-f <file> |-c <cmd>] [-p <pat>] [-o]" 1>&2; exit 1; }

    local OPTIND o f cmd decode p pflag=0
    decode="base64 -d |"
    while getopts ":f:c:o:p:" o; do
        case "${o}" in
            f)
                f="${OPTARG}"
                cmd=(cat "$f")
                ;;
            c)
                cmd=($OPTARG)
                ;;
            o)
                decode="cat |"
                ;;
            p)
                p="${OPTARG}"
                pflag=1
                ;;
            *)
                md5cert_usage
                ;;
        esac
    done
    shift $((OPTIND-1))

    if [ $pflag -eq 1 ]; then
        "${cmd[@]}" | grep "$p" | awk '{print $2}' | $decode md5sum
    else
        "${cmd[@]}" | $decode md5sum
    fi
}

修复要点：

• 修正getopts选项定义，原代码错误使用:a:，改为正确的:f:c:o:p:
• 用数组cmd存储命令及参数，避免字符串拼接导致的引号解析错误
• 给grep的匹配模式$p添加引号，支持含空格的匹配规则
• 直接串联管道命令，取消变量拼接整个管道链的写法

修复readcert函数 #

原函数问题在于用变量存储证书内容时丢失换行符，且echo输出会破坏证书格式。修复时直接通过管道传递内容，彻底避免中间变量导致的格式丢失。

修复后的代码：

function readcert()
{
    readcert_usage() { echo "readcert: [-f <file> |-c <cmd>] [-p <pat>] [-o]" 1>&2; exit 1; }

    local OPTIND o f cmd decode p pflag=0
    decode="base64 -d |"
    while getopts ":f:c:o:p:" o; do
        case "${o}" in
            f)
                f="${OPTARG}"
                cmd=(cat "$f")
                ;;
            c)
                cmd=($OPTARG)
                ;;
            o)
                decode="cat |"
                ;;
            p)
                p="${OPTARG}"
                pflag=1
                ;;
            *)
                readcert_usage
                ;;
        esac
    done
    shift $((OPTIND-1))

    if [ $pflag -eq 1 ]; then
        "${cmd[@]}" | grep "$p" | awk '{print $2}' | $decode openssl x509 -in /dev/stdin -noout -text
    else
        "${cmd[@]}" | $decode openssl x509 -in /dev/stdin -noout -text
    fi
}

修复要点：

• 删除中间变量content，直接通过管道将证书内容传递给OpenSSL，完整保留换行符
• 用数组存储命令参数，避免字符串解析错误
• 移除错误的echo -e输出，防止转义字符干扰证书原始内容
• 给grep匹配模式添加引号，支持含空格的场景

使用示例 #

1. 校验YAML文件中base64编码证书的MD5值：

md5cert -f secret.yaml -p tls.crt

2. 查看Kubernetes Secret中的证书内容：

readcert -c "kubectl get secret my-tls-secret -o yaml" -p tls.crt

3. 校验磁盘上明文证书的MD5值：

md5cert -f /etc/kubernetes/pki/apiserver.crt -o

内容的提问来源于stack exchange，提问作者Seeking.that