Sikre midlertidige filer og låsem mapper

Hvis dit script afsluttes uventet — på grund af en fejl, et signal eller fordi set -e udløses — efterlades midlertidige filer, medmindre du registrerer en oprydningshåndterer.

Den indbyggede trap-kommando kører en kommando, når shellen modtager et signal eller afsluttes. Det kanoniske mønster til oprydning af midlertidige filer er:

• Registrér trap'en umiddelbart efter oprettelsen af den midlertidige fil.
• Brug EXIT som trap, så oprydningen udføres både ved normal og unormal afslutning.
• Brug også INT og TERM som traps, hvis scriptet kører længe eller er interaktivt.

Det garanterer, at der ikke efterlades forældreløse filer, selv hvis scriptet afsluttes midt under kørslen.

Nogle gange har du brug for en hel mappe til midlertidig lagring af flere filer — for eksempel når du opbygger et arkiv eller pakker en tarball ud, før den behandles. Brug mktemp -d til at oprette en sikker midlertidig mappe.

• Mappen oprettes med tilladelserne 0700 (kun ejeren har adgang).
• Ryd op med rm -rf i din trap — sørg for kun at fjerne variablen, aldrig en fast kodet sti.
• Brug dobbelte anførselstegn, og kontrollér, at variablen ikke er tom, før du kalder rm -rf, som et ekstra sikkerhedstjek.

Cron-job, systemd-timere og manuelt udløste scripts kan nemt starte flere instanser af det samme script samtidigt. Det medfører:

• Dubletbehandling: De samme databaseposter eller filer behandles to gange.
• Beskadiget output: To instanser skriver til den samme outputfil samtidigt.
• Deadlocks eller delvis tilstand: Begge instanser ændrer delte ressourcer i en sammenflettet og uforudsigelig rækkefølge.

Den traditionelle løsning var at skrive en PID-fil og kontrollere den ved opstart — men denne tilgang har et kapløbsvindue mellem kontrollen og skrivningen. Den korrekte moderne løsning er flock, som bruger kernens rådgivende låsemekanisme til at opnå en lås uden kapløbsforhold.

flock erhverver en rådgivende lås på en fildeskriptor, før en kommando køres. Den enkleste anvendelse omslutter hele dit script fra kommandolinjen:

flock -n /var/lock/myscript.lock bash myscript.sh

• -n (ikke-blokerende): afslutter straks med status 1, hvis låsen allerede er taget, i stedet for at vente.
• Uden -n blokerer flock, indtil låsen bliver ledig — nyttigt til kødannelse.
• Selve låsefilen er blot en markør; dens indhold er ligegyldigt. Det er sikkert at lade den blive mellem kørsler.
• Når processen, der har låsen, afsluttes, frigiver kernen den automatisk — manuel oprydning er ikke nødvendig.

Hvis du vil låse inde i et script i stedet for at omslutte det udefra, skal du bruge exec til at åbne en fildeskriptor og derefter kalde flock på den. Dette er det idiomatiske mønster, der bruges i produktionsscripts.

• exec 200>"$LOCKFILE" åbner filen på deskriptor 200 til skrivning (og opretter den om nødvendigt).
• flock -n 200 forsøger at låse deskriptor 200 uden at blokere.
• Fordi låsen er knyttet til fildeskriptoren (ikke filnavnet), frigives den automatisk, når shell-processen afsluttes.
• Deskriptornumrene 200-299 bruges traditionelt for at undgå sammenstød med stdin/stdout/stderr.

Rigtigt defensive scripts har brug for begge dele: en lås, der forhindrer samtidige kørsler, og sikre midlertidige filer til mellemdata. Her er det komplette mønster, der kombinerer begge teknikker:

• Erhverv låsen først — før du opretter midlertidige filer — så kun én instans overhovedet udfører arbejde.
• Opret midlertidige ressourcer, efter at låsen er bekræftet.
• Registrer trap umiddelbart efter oprettelsen af de midlertidige ressourcer, så oprydning er garanteret, uanset hvordan scriptet afsluttes.
• Låsefilen må aldrig ligge i den midlertidige mappe — den skal bevares mellem kørsler, så flock kan referere til den.

På systemer, hvor flock ikke er tilgængelig (nogle indlejrede systemer eller netværksfilsystemer som NFS), kan du i stedet bruge låsem mapper. mkdir er atomisk på POSIX-systemer: det lykkes kun, hvis mappen ikke allerede findes.

• Opret låsemappen med mkdir /tmp/myscript.lock.d — hvis en anden instans allerede har oprettet den, mislykkes mkdir straks.
• Gem metadata (for eksempel PID'en) i mappen til diagnosticering.
• Fjern altid mappen i en trap ved EXIT.
• Forbehold: I modsætning til flock frigives en mappelås IKKE automatisk, hvis processen dræbes med -9, eller hvis maskinen genstarter — tilføj et tjek, der opdager forældede låse.

Nogle gange vil du vente på en lås i stedet for at fejle med det samme — men du vil ikke vente for evigt. flock understøtter en timeout med flaget -w.

• flock -w 10 200 venter i op til 10 sekunder på låsen og afslutter derefter med status 1, hvis den stadig ikke er tilgængelig.
• Dette er ideelt til scripts, der skal sættes i kø efter en kortvarig forgænger, men give op, hvis forgængeren sidder fast.
• Kombiner -w med en meningsfuld fejlmeddelelse, der indeholder kontekst — låsefilens sti og hvor længe du ventede — så operatører hurtigt kan diagnosticere hængende processer.

Gå denne tjekliste igennem, før du leverer et script, der bruger midlertidige filer eller låsning:

• Brug mktemp, aldrig faste stier — /tmp/myapp.tmp er forudsigelig og kan udnyttes.
• Gem stien med det samme — TMPFILE=$(mktemp ...) før enhver anden kommando.
• Registrer trap cleanup EXIT umiddelbart efter oprettelsen — ikke i slutningen af scriptet.
• Sæt dobbelte anførselstegn omkring alle variabelreferencer — rm -f "$TMPFILE", aldrig rm -f $TMPFILE.
• Foretræk flock frem for PID-filer — kernestyret og automatisk frigivet ved nedbrud.
• Brug ikke-blokerende -n som standard — lydløst blokerende låse skjuler ydelsesproblemer.
• Placér låsefilen uden for den midlertidige mappe — så den overlever oprydningstrappen.
• Test oprydningsadfærden — kør dit script, og brug kill -9 på det midt under kørslen; kontrollér, at der ikke er nogen resterende filer (for scripts baseret på flock; mappelåse kræver ekstra omtanke).

I denne lektion lærte du de to vigtigste værktøjer til defensiv ressourcestyring i Bash:

• mktemp opretter uforudsigelige midlertidige filer (0600) og mapper (0700) med sikre tilladelser og eliminerer kapløbsforhold og symlink-angreb, som plager faste stier.
• trap cleanup EXIT garanterer, at midlertidige filer fjernes ved enhver afslutning — normal, udløst af en fejl eller udløst af et signal — når den registreres umiddelbart efter oprettelsen.
• flock giver kernehåndhævet rådgivende låsning: brug -n til at fejle hurtigt ved konkurrence om låsen, -w N til at vente med en timeout og mønsteret exec 200>file til låsning inde i et script, hvor kernen automatisk frigiver låsen, når processen afsluttes.
• Låsem mapper (mkdir) er et portabelt alternativ i miljøer, hvor flock ikke er tilgængelig, men kræver udtrykkelig registrering af forældede låse.
• Hold altid låsefilen uden for den midlertidige mappe, og sæt dobbelte anførselstegn omkring alle variabler, der bruges i oprydningen.

Ved at kombinere mktemp + flock + trap får du scripts, der er sikre mod samtidige kørsler, uforudsigelige nedbrud og ondsindet manipulation af filsystemet.