如何在Bash脚本中避免SQL语句的*被路径展开？

你的问题核心是用eval拼接并执行命令时，Shell会对变量里的通配符（比如*）进行路径扩展，把它替换成当前目录的文件列表，导致SQL执行异常。要彻底解决这个问题，同时兼容所有合法SQL语句，最可靠的方式是避免使用eval，直接将查询语句作为参数传递给mysql命令，具体改造如下：

改造后的函数代码 #

query() {
    mysql -N -B -u "$user" -p"$password" -h "$host" -e "$1;"
}

调用方式 #

q="select * from mydatabase.mytable"
query "$q"

为什么这样能解决问题？ #

1. 禁用Shell路径扩展：用双引号"$1"包裹参数时，Shell会将变量内容作为单个完整的字符串传递给mysql命令，不会对其中的*、空格等特殊字符进行解析或扩展，完全保留SQL语句的原始内容。
2. 避免eval的安全风险：eval会执行字符串中的任意Shell命令，若SQL语句包含Shell元字符（比如;、|），可能导致意外执行恶意代码，直接传递参数的方式从根源上避免了这种风险。
3. 兼容所有合法SQL：不管你的SQL语句里包含单引号、双引号、分号还是其他特殊字符，只要变量中的SQL本身是合法的，就能被mysql正确解析执行。

额外注意事项 #

• 连接参数-p后面不要加空格，直接紧跟"$password"，否则Shell会把密码当作单独的参数处理，导致登录失败。
• 所有环境变量（$user、$password、$host）都要用双引号包裹，防止变量值中包含空格或特殊字符时出现解析错误。

内容的提问来源于stack exchange，提问作者user37342