如何将shell脚本导出的环境变量安全传递给cron任务

cron 运行在独立的精简非交互shell环境下，不会继承你在交互式终端手动export的环境变量，也不会默认加载~/.bashrc这类交互shell配置文件，这是script_b.sh读不到userValue的核心原因。把变量写在~/.bashrc的方案本身就不可靠，还存在明文泄露风险，以下是可落地的替代方案：

方案1：root专属权限受控存储（最易落地，满足绝大多数安全要求） #

单独创建仅root用户有读写权限的文件存储变量值，不混入全局shell配置，从权限层面控制访问范围：

1. 修改script_a.sh的逻辑，接收用户输入后，除了临时export给当前交互shell使用，同步把值写入专属存储文件：

   # script_a.sh 核心逻辑示例
   read -p "请输入userValue取值: " inputValue
   export userValue="$inputValue"
   # 写入/root目录下的专属文件，普通用户默认无权限访问/root目录
   echo "$inputValue" > /root/.cron_env_userValue
   # 严格设置权限：仅root可读写
   chmod 600 /root/.cron_env_userValue
   chown root:root /root/.cron_env_userValue
   

2. 修改script_b.sh，在脚本开头主动读取该文件赋值变量，不需要依赖任何全局shell配置：

   #!/bin/bash
   # 脚本开头先读取变量
   userValue=$(cat /root/.cron_env_userValue)
   # 后续业务逻辑正常使用$userValue即可
   

   这个方案的安全性远高于写~/.bashrc：600权限意味着除root外的所有系统用户都无法读取该文件，不会出现普通用户登录时直接从bashrc看到明文值的问题。

方案2：直接在crontab中定义变量（适合值不频繁修改的场景） #

root用户的crontab配置本身默认就是600权限，只有root可读写，直接在crontab顶部定义变量，cron执行任务时会自动加载：

1. 执行crontab -e编辑root用户的定时任务，在任务行上方添加变量定义：

   # 定义cron任务可用的环境变量
   userValue=你的实际取值
   # 原有定时任务行，例如每小时执行一次script_b.sh
   0 * * * * /path/to/script_b.sh
   

2. 不需要修改script_b.sh，脚本内可以直接读取到$userValue的值，不需要额外加载任何配置。

方案3：加密存储（对安全性要求更高的场景） #

如果不允许明文存储值，可以用系统自带的openssl做对称加密，存储密文，脚本运行时再解密取值：

1. 提前生成加密密钥，设置为仅root可读：

   openssl rand -hex 16 > /root/.cron_enc_key
   chmod 400 /root/.cron_enc_key
   

2. 修改script_a.sh，接收输入后加密存储密文：

   read -p "请输入userValue取值: " inputValue
   export userValue="$inputValue"
   echo "$inputValue" | openssl enc -aes-256-cbc -salt -pass file:/root/.cron_enc_key > /root/.cron_env_userValue.enc
   chmod 600 /root/.cron_env_userValue.enc
   

3. 修改script_b.sh，运行时解密取值：

   #!/bin/bash
   userValue=$(openssl enc -aes-256-cbc -d -salt -pass file:/root/.cron_enc_key -in /root/.cron_env_userValue.enc)
   # 后续逻辑正常使用$userValue即可
   

   这个方案落地时存储的是加密后的密文，就算文件被意外拷贝，没有对应密钥也无法拿到真实值，安全性最高。

注意：不要依赖全局shell配置文件给cron任务传变量，这类文件只针对交互登录场景设计，cron环境不会稳定加载，很容易出现变量丢失的问题。

内容的提问来源于stack exchange，提问作者collaborate.ever