Shell脚本安全防护：密码加密与敏感信息管理实践

1. Shell脚本安全防护的必要性

在自动化运维和系统管理领域，Shell脚本承担着大量敏感操作，其中不可避免地会涉及密码、API密钥、数据库连接字符串等机密信息。我曾亲眼见过某企业因脚本中硬编码的数据库密码泄露，导致整个用户数据表被拖库的案例。这种安全事故往往不是技术难度造成的，而是开发者缺乏基本的安全意识所致。

传统Shell脚本开发中存在几个典型安全隐患：直接在脚本中明文写入密码、将敏感参数通过命令行传递、在日志文件中记录完整连接字符串等。这些做法就像把家门钥匙挂在门把手上，一旦脚本文件被不当共享或服务器遭到入侵，攻击者就能轻松获取这些信息。

更隐蔽的风险在于，即使脚本本身设置了严格的权限（如700），通过ps -ef命令仍然可能捕获到运行时传递的密码参数。去年我参与处理的一个安全事件中，攻击者正是通过监控进程列表获取了定期执行的备份脚本中的数据库密码。

2. 密码加密存储方案

2.1 环境变量管理法

最基础的防护是将敏感信息存储在环境变量中。我通常会在用户home目录下创建.env文件：

bash复制# 格式：KEY=value
DB_PASSWORD='S3cr3tP@ss!'
API_KEY='xoxb-123456-7890'

然后在脚本中通过source加载：

bash复制#!/bin/bash
source ~/.env

mysql -u admin -p"$DB_PASSWORD" mydb <<< "SELECT * FROM users"

重要提示：务必设置.env文件权限为600，避免其他用户读取：chmod 600 ~/.env

这种方法的优点是实现简单，但存在两个明显缺陷：一是文件仍然以明文存储，二是可能被意外提交到版本库。我建议配合.gitignore添加规则：

code复制# 在.gitignore中
.env
*.secret

2.2 GPG加密方案

对于更高安全要求的场景，我推荐使用GPG非对称加密。以下是具体操作流程：

1. 首先创建测试密钥对（生产环境应使用正式证书）：

bash复制gpg --batch --generate-key <<EOF
Key-Type: RSA
Key-Length: 2048
Subkey-Type: RSA
Subkey-Length: 2048
Name-Real: Script User
Name-Email: scripts@company.com
Expire-Date: 0
Passphrase: 
%commit
EOF

2. 将密码加密存储：

bash复制echo "TopSecret123" | gpg --encrypt --recipient scripts@company.com --output db_password.gpg

3. 在脚本中解密使用：

bash复制#!/bin/bash
DB_PASS=$(gpg --qu