Ansible调整GRUB启动参数：缺失audit=1则追加、audit=0则替换为1

方案核心逻辑 #

无需额外调用shell脚本，直接使用原生lineinfile模块即可完全匹配三类调整规则，解决之前难以在闭合双引号前插入参数的问题：

• 锚定唯一目标行：通过正则匹配以GRUB_CMDLINE_LINUX_DEFAULT=开头的整行，不影响文件其他配置内容
• 全词匹配参数边界：精准识别audit=0/audit=1参数，避免误伤audit=10、disk_audit=0这类非目标内容
• 引号内操作：所有参数替换、追加动作都在双引号包裹的内容域内完成，不会把参数写到引号外部

可直接复用的任务配置 #

- name: 配置GRUB内核启动的audit参数
  ansible.builtin.lineinfile:
    path: /etc/default/grub
    # 正则锚定目标配置行，捕获双引号内部的全部内容作为第一捕获组
    regexp: '^GRUB_CMDLINE_LINUX_DEFAULT="(.*)"$'
    # 替换逻辑：先移除捕获组内已存在的audit=0/audit=1参数，再拼接audit=1，全程在引号内完成
    line: 'GRUB_CMDLINE_LINUX_DEFAULT="{{ (backrefs[1] | regex_replace(' ?audit=[01]', '')) | trim }} audit=1"'
    backrefs: true
    # 禁止自动创建不存在的配置行，避免生成重复的GRUB配置项
    create: false
    backup: true
  notify: 执行update-grub重新生成引导配置

场景适配校验 #

该实现逻辑完全覆盖所有要求的处理规则：

• 目标行无audit参数：对原有引号内的内容不做任何删减，直接在内容末尾、闭合双引号前追加 audit=1
• 目标行存在audit=0参数：先删除原有audit=0（连带前面的分隔空格），再在相同位置写入audit=1
• 目标行已存在audit=1参数：先移除原有audit=1，再拼回完全一致的audit=1，整行内容和原文件完全相同，Ansible检测不到差异，不会触发任何修改

内容的提问来源于stack exchange，提问作者8star