Bash如何定义不可篡改变量 防止用户修改软件版本标识

首先明确：Bash属于明文解释型脚本，declare -r仅能限制脚本运行过程中变量被动态修改，无法阻止拥有文件读写权限的用户（包括root/sudo用户）直接编辑脚本源文件修改数值，纯脚本层面不存在可以完全禁止root修改源文件的原生能力。

以下是可落地的提升版本号防篡改能力的方案：

• 方案1：将脚本编译为二进制发布
  可以使用shc工具将Bash脚本转换为加密二进制可执行文件，编译后用户无法直接查看、修改源码内容，版本号会被固化在二进制文件中。操作方法：
  1. 安装shc：不同发行版使用对应包管理器安装即可，比如Debian/Ubuntu环境执行apt install shc
  2. 编译脚本：执行shc -f 你的脚本名称.sh，生成的你的脚本名称.sh.x就是加密后的二进制文件，直接发布该文件即可

  注意：shc并非绝对无法破解，但可以大幅提高普通用户修改版本号的门槛，满足绝大多数场景的防篡改需求

• 方案2：内置版本号哈希校验
  在脚本中提前内置版本号的哈希校验值，每次脚本启动时自动比对当前版本号和预设哈希，不一致就直接终止运行，示例代码如下：

  # 提前计算好对应版本号的sha256哈希值，比如version=11对应的哈希值如下
  declare -r version=11
  declare -r valid_version_hash="367127b342d484b3b36f5a1ea2b1a5171f8c0a0d32f0025d07d76c196546e581"
  
  # 运行时自动校验
  current_hash=$(echo -n "$version" | sha256sum | awk '{print $1}')
  if [ "$current_hash" != "$valid_version_hash" ]; then
    echo "版本号已被篡改，程序终止运行"
    exit 1
  fi
  

  该方案仅能阻止用户单独修改version变量，无法阻止用户同时修改version和valid_version_hash两个值，仅能提升篡改成本

• 方案3：服务端版本校验（最可靠）
  如果你的程序需要联网使用，可以在程序启动时将当前版本号上传至你自己的服务端做校验，服务端判定版本号非法时直接拒绝提供服务，这种方案下用户本地修改版本号无法绕过服务端校验，可靠性最高。

内容的提问来源于stack exchange，提问作者pullhyphoonprotocol