如何避免ssh结合sudo传递命令与本地变量时的引用转义？here-doc在bash无效

我太懂这种被引号嵌套、变量解析顺序坑到崩溃的感觉了——SSH+Sudo组合传递本地变量或命令时，稍不注意就会出现命令拆分、特殊字符失效、变量不解析的问题，包括你提到的here-doc在bash里的“失效”，大概率是写法没踩对要点。下面结合你提到的场景，一步步拆解靠谱的解决方案：

先搞懂常见写法的坑点 #

你提到的两种写法，本质都是变量解析时机和字符串拆分的问题：

• ssh $host $FOO：本地会先把$FOO按空格/特殊字符拆分成多个参数，远程SSH会把第一个参数当作命令，后面的当作参数传递——如果$FOO里有空格、引号或者通配符，直接凉。
• ssh $host "sudo su user -c $FOO"：$FOO在本地提前解析，解析后的内容会破坏远程-c后的引号结构。比如$FOO是echo "hello world"，本地解析后变成ssh $host "sudo su user -c echo "hello world""，远程执行时hello world的引号直接失效，被拆成两个参数。

靠谱解决方案逐个来 #

1. 用printf '%q'转义变量，彻底避免特殊字符问题 #

这是最稳妥的单命令传递方式，printf '%q'会把变量内容转义成shell能安全解析的格式，不管里面有空格、引号还是特殊符号：

# 本地定义变量
LOCAL_VAR="Hello! I'm a variable with spaces and 'quotes'"
# 转义变量
ESCAPED_VAR=$(printf '%q' "$LOCAL_VAR")
# 传递给远程sudo执行
ssh $host "sudo su user -c 'echo $ESCAPED_VAR'"

这里远程-c后的单引号确保转义后的变量不会被二次解析，完美解决嵌套问题。

2. 用数组传递命令，避免字符串拆分 #

如果你的命令本身就有多个参数，用数组来封装命令和参数，能从根源上避免空格拆分的问题：

# 本地定义命令数组，包含sudo、用户和要执行的命令
REMOTE_CMD=(sudo su user -c "echo '$LOCAL_VAR'")
# 传递数组给SSH
ssh $host "${REMOTE_CMD[@]}"

数组会把每个元素作为独立参数传递，不会因为空格拆分成多个部分，配合单引号包裹变量，安全性拉满。

3. 正确使用Here-doc，解决多行命令+本地变量传递 #

你说here-doc在bash里不行，大概率是没加-t或者搞错了EOF的引号规则。Here-doc最适合传递多行复杂命令，关键要点：

• 加ssh -t：强制分配伪终端，避免sudo因为requiretty配置拒绝执行
• EOF的引号控制变量解析：
  • 不带引号的EOF：本地会先解析变量，再把内容传给远程
  • 带单引号的'EOF'：内容完全不被本地解析，直接传给远程（适合纯远程命令，不需要本地变量）

示例（传递本地变量+多行远程命令）：

LOCAL_VAR="My local variable"
ssh -t $host sudo su user <<EOF
echo "Received local variable: $LOCAL_VAR"
# 这里可以加任意多行远程命令，比如创建文件、修改配置
touch /tmp/test_file
echo "Done!"
EOF

执行后，远程sudo用户会看到本地变量的内容，同时执行后续命令。

4. 用环境变量传递，配合sudo -E保留环境 #

如果要传递多个本地变量，把变量导出到本地环境，然后直接在远程命令里定义，再配合sudo -E保留环境变量：

# 本地导出变量
export LOCAL_VAR1="Var1"
export LOCAL_VAR2="Var2"
# 传递给远程，sudo -E保留环境变量
ssh $host "export LOCAL_VAR1='$LOCAL_VAR1' LOCAL_VAR2='$LOCAL_VAR2'; sudo -E su user -c 'echo \$LOCAL_VAR1 \$LOCAL_VAR2'"

这里远程的\$LOCAL_VAR要加转义，避免本地提前解析。

总结最佳实践 #

1. 单命令+少量变量：优先用printf '%q'转义，配合单引号包裹远程命令
2. 多参数命令：用数组封装，避免字符串拆分
3. 多行复杂命令：用ssh -t+无引号EOF的here-doc，方便传递本地变量
4. 批量变量传递：导出本地环境变量，配合sudo -E在远程保留

内容的提问来源于stack exchange，提问作者dabest1