如何让嵌入YAML的Shell脚本规避不同引号引发的语法安全问题

最优方案：使用带引号的Here-doc结合read命令赋值 #

你提到的普通here-doc写法存在扩展风险，调整为带引号分隔符的here-doc配合read命令即可安全处理任意内容的错误输出，完全规避单双引号冲突、特殊字符解析问题。

完整配置示例 #

on_error:
    - |
      # 普通无特殊字符的变量可保留原有写法
      export BGM_ERR_VAR_CONFIG_PATH="{configuration_filename}"
      export BGM_ERR_VAR_REPO="{repository}"
      export BGM_ERR_VAR_ERROR_MSG="{error}"

      # 复杂错误输出专用赋值方式
      IFS= read -r -d '' BGM_ERR_VAR_ERROR_OUT <<'ERR_OUTPUT'
{output}
ERR_OUTPUT
      export BGM_ERR_VAR_ERROR_OUT

      '/path/to/script.sh' 'some_arg' '[...]'

实现原理 #

• 分隔符ERR_OUTPUT用单引号包裹后，Here-doc范围内的所有内容都会被Shell原样接收，不会进行任何变量替换、命令解析、引号转义操作，无论{output}包含单引号、双引号、反斜杠、美元符号、换行等任意字符都不会触发语法错误
• IFS= 清除输入分隔符，避免变量首尾的空白字符被自动截断
• read -r 禁用反斜杠转义逻辑，保留内容中原有的反斜杠字符
• -d '' 将读取终止符设置为空，让read可以接收包含多行换行的完整内容，不会在第一行结束就停止读取
• 最后执行export把变量传递给后续调用的脚本即可

其他方案缺陷说明 #

• 直接用引号包裹占位符的方式必然会因为内容中的引号匹配错误触发语法问题
• 不带引号的Here-doc（<< EOT）不会禁用内部扩展，如果错误内容中包含$、反引号等字符会被Shell解析执行，存在安全隐患且会修改原始内容
• 用cat的Here-doc写法会丢失内容末尾的换行符，且需要额外创建子进程，效率低于read方案

内容的提问来源于stack exchange，提问作者Thorsten Schöning