Shell脚本中firewall-cmd移除规则命令报错问题排查

我来帮你理清这个问题！首先你看到的单引号并不是实际命令里的内容——那是Shell开启verbose模式（set -x）后，为了清晰展示参数边界自动加上的标记，它在告诉你：整行规则被当成了一个单独的参数传给了--remove-rule，但firewall-cmd需要的是把规则的各个组件（比如ipv4、filter、OUTPUT这些）作为独立参数传入，这就是报错的核心原因。

为什么会出现这个问题？ #

你设置了IFS=$'\n'让for循环按行读取规则，但这个操作同时改变了Shell的分词行为：默认情况下Shell会用空格/制表符/换行来拆分参数，但修改IFS后，只有换行是分隔符，空格不再触发分词。所以当你直接用$i传递规则时，整行带空格的内容会被当作一个完整参数，firewall-cmd自然识别不了。

解决方法 #

方法1：用while read循环（推荐） #

这种方式能正确读取每一行规则，并且默认的IFS会帮你把规则按空格拆分成独立参数：

# 批量删除所有永久direct规则，最后统一重载（更高效）
firewall-cmd --direct --get-all-rules | while read -r rule_line; do
  firewall-cmd --permanent --direct --remove-rule $rule_line
done
firewall-cmd --reload

把--reload放到循环外面是因为--permanent修改的是永久规则，只需要重载一次就能让所有修改生效，比每次删除都重载更高效。

方法2：临时恢复默认IFS #

如果你坚持用for循环，可以在执行firewall-cmd的时候临时恢复默认的IFS，让Shell正确拆分参数：

IFS=$'\n'
for rule in $(firewall-cmd --direct --get-all-rules); do
  # 临时设置默认IFS来拆分规则参数，执行后自动恢复原来的IFS
  IFS=$' \t\n' firewall-cmd --permanent --direct --remove-rule $rule
done
unset IFS
firewall-cmd --reload

验证结果 #

执行修改后的命令后，你可以用firewall-cmd --permanent --direct --get-all-rules检查，返回空内容就说明所有永久direct规则都被成功删除了。

内容的提问来源于stack exchange，提问作者Ibrahim Quraish