Archivos temporales seguros y directorios de bloqueo

Los scripts de Bash suelen necesitar almacenamiento temporal: resultados intermedios, indicadores de bloqueo y áreas de preparación. Sin embargo, crear archivos temporales sin cuidado abre vulnerabilidades graves.

• Condiciones de carrera: otro proceso puede predecir el nombre del archivo y crearlo primero, redirigiendo sus escrituras.
• Ataques mediante enlaces simbólicos: un atacante crea un enlace simbólico en la ruta prevista que apunta a un archivo confidencial como /etc/passwd.
• Archivos residuales: si un script falla, los archivos temporales se acumulan y pueden exponer datos confidenciales.

Las dos herramientas principales que eliminan estos problemas son mktemp y flock. En esta lección aprenderá a utilizar ambas de forma segura y defensiva.

mktemp crea un archivo temporal con un nombre aleatorio e impredecible y devuelve su ruta. Crea el archivo de forma atómica, por lo que ningún otro proceso puede apropiarse antes del nombre.

• Sintaxis: mktemp [TEMPLATE]; la plantilla debe terminar con al menos tres caracteres X.
• Cada X se sustituye por un carácter aleatorio, lo que produce un nombre único como /tmp/script.aB3kQz.
• El archivo se crea automáticamente con permisos 0600 (solo el propietario puede leerlo).

Capture siempre la ruta devuelta en una variable inmediatamente para poder utilizarla y limpiarla posteriormente.

Si el script termina inesperadamente — debido a un error, una señal o la activación de set -e— los archivos temporales quedarán atrás a menos que registre un manejador de limpieza.

El comando integrado trap ejecuta un comando cuando el shell recibe una señal o termina. El patrón habitual para limpiar archivos temporales es:

• Registre la trap inmediatamente después de crear el archivo temporal.
• Use una trap para EXIT de modo que la limpieza se ejecute tanto al salir con normalidad como de forma anómala.
• Registre también INT y TERM si el script se ejecuta durante mucho tiempo o es interactivo.

Esto garantiza que no queden archivos huérfanos, incluso si el script se termina durante la ejecución.

A veces necesita un directorio completo para preparar varios archivos; por ejemplo, para crear un archivo comprimido o extraer un tarball antes de procesarlo. Use mktemp -d para crear un directorio temporal seguro.

• El directorio se crea con los permisos 0700 (acceso exclusivo del propietario).
• Límpielo con rm -rf en su trap; tenga cuidado de eliminar únicamente la variable, nunca una ruta codificada directamente.
• Use comillas dobles y compruebe que la variable no esté vacía antes de llamar a rm -rf como medida de seguridad adicional.

Los trabajos de Cron, los temporizadores de systemd y los scripts ejecutados manualmente pueden iniciar fácilmente varias instancias del mismo script al mismo tiempo. Esto provoca:

• Procesamiento duplicado: los mismos registros de la base de datos o archivos se procesan dos veces.
• Salida dañada: dos instancias escriben simultáneamente en el mismo archivo de salida.
• Interbloqueos o estado parcial: ambas instancias modifican recursos compartidos en un orden intercalado e impredecible.

La solución tradicional consistía en escribir un archivo PID y comprobarlo al iniciar, pero este enfoque presenta una ventana de condición de carrera entre la comprobación y la escritura. La solución moderna correcta es flock, que utiliza el mecanismo de bloqueo consultivo del kernel para garantizar un bloqueo sin condiciones de carrera.

flock adquiere un bloqueo consultivo sobre un descriptor de archivo antes de ejecutar un comando. El uso más sencillo consiste en envolver todo el script desde la línea de comandos:

flock -n /var/lock/myscript.lock bash myscript.sh

• -n (sin bloqueo): termina inmediatamente con el estado 1 si el bloqueo ya está ocupado, en lugar de esperar.
• Sin -n, flock se bloquea hasta que el bloqueo está disponible, lo que resulta útil para poner ejecuciones en cola.
• El archivo de bloqueo solo es un marcador; su contenido no importa. Es seguro conservarlo entre ejecuciones.
• Cuando termina el proceso que mantiene el bloqueo, el kernel lo libera automáticamente; no es necesario realizar una limpieza manual.

Para realizar el bloqueo dentro de un script en lugar de envolverlo desde fuera, use exec para abrir un descriptor de archivo y después llame a flock sobre ese descriptor. Este es el patrón idiomático utilizado en scripts de producción.

• exec 200>"$LOCKFILE" abre el archivo en el descriptor 200 para escritura (y lo crea si es necesario).
• flock -n 200 intenta bloquear el descriptor 200 sin bloqueo.
• Como el bloqueo está asociado al descriptor de archivo (no al nombre del archivo), se libera automáticamente cuando termina el proceso del shell.
• Convencionalmente se utilizan los números de descriptor del 200 al 299 para evitar conflictos con stdin/stdout/stderr.

Los scripts defensivos reales necesitan ambas cosas: un bloqueo para impedir ejecuciones simultáneas y archivos temporales seguros para los datos intermedios. Este es el patrón completo que combina ambas técnicas:

• Adquiera primero el bloqueo, antes de crear archivos temporales, para que solo una instancia realice cualquier trabajo.
• Cree los recursos temporales después de confirmar el bloqueo.
• Registre el trap inmediatamente después de crear los temporales para garantizar la limpieza independientemente de cómo termine el script.
• El archivo de bloqueo nunca debe estar en el directorio temporal: debe persistir entre ejecuciones para que flock pueda hacer referencia a él.

En sistemas donde flock no está disponible (algunos sistemas embebidos o sistemas de archivos de red como NFS), puede utilizar directorios de bloqueo. mkdir es atómico en sistemas POSIX: solo se ejecuta correctamente si el directorio aún no existe.

• Cree el directorio de bloqueo con mkdir /tmp/myscript.lock.d; si otra instancia ya lo creó, mkdir falla inmediatamente.
• Almacene metadatos (como el PID) dentro del directorio para facilitar el diagnóstico.
• Elimine siempre el directorio en un trap asociado a EXIT.
• Advertencia: a diferencia de flock, un bloqueo mediante directorio NO se libera automáticamente si el proceso termina con -9 o la máquina se reinicia; añada una comprobación para detectar bloqueos obsoletos.

A veces querrá esperar a que se libere un bloqueo en lugar de fallar inmediatamente, pero sin esperar indefinidamente. flock admite un tiempo de espera mediante la opción -w.

• flock -w 10 200 espera hasta 10 segundos para obtener el bloqueo y después termina con el estado 1 si sigue sin estar disponible.
• Esto es ideal para scripts que deben ponerse en cola detrás de un proceso anterior de corta duración, pero abandonar el intento si dicho proceso se ha quedado bloqueado.
• Combine -w con un mensaje de error significativo que incluya el contexto —la ruta del archivo de bloqueo y el tiempo de espera— para que los operadores puedan diagnosticar rápidamente los bloqueos.

Antes de distribuir cualquier script que utilice archivos temporales o bloqueos, repase esta lista de comprobación:

• Use mktemp, nunca rutas codificadas directamente: /tmp/myapp.tmp es predecible y puede explotarse.
• Capture la ruta inmediatamente: TMPFILE=$(mktemp ...) antes de cualquier otro comando.
• Registre trap cleanup EXIT inmediatamente después de la creación: no al final del script.
• Escriba entre comillas dobles todos los usos de variables: rm -f "$TMPFILE", nunca rm -f $TMPFILE.
• Prefiera flock a los archivos PID: el kernel lo administra y lo libera automáticamente en caso de fallo.
• Use -n sin bloqueo de forma predeterminada: los bloqueos silenciosos que esperan ocultan problemas de rendimiento.
• Coloque el archivo de bloqueo fuera del directorio temporal: así sobrevivirá al trap de limpieza.
• Pruebe el comportamiento de limpieza: ejecute el script y use kill -9 durante su ejecución; compruebe que no queden archivos residuales (en scripts basados en flock; los bloqueos mediante directorios requieren atención adicional).

Un trabajo de Cron se ejecuta cada minuto y procesa un archivo compartido. Quiere que cualquier nueva invocación termine inmediatamente con un error si una ejecución anterior sigue activa, sin esperar. ¿Qué invocación de flock implementa esto correctamente?

En esta lección aprendió las dos herramientas esenciales para la gestión defensiva de recursos en Bash:

• mktemp crea archivos temporales con nombres impredecibles y permisos seguros (0600), así como directorios (0700), eliminando las condiciones de carrera y los ataques mediante enlaces simbólicos que afectan a las rutas codificadas directamente.
• trap cleanup EXIT garantiza la eliminación de los archivos temporales al salir, ya sea normalmente, por un error o debido a una señal, siempre que se registre inmediatamente después de la creación.
• flock proporciona un bloqueo consultivo impuesto por el kernel: use -n para fallar rápidamente si hay contención, -w N para esperar con un tiempo límite y el patrón exec 200>file para bloquear dentro del script, de modo que el kernel libere el bloqueo automáticamente al terminar el proceso.
• Los directorios de bloqueo (mkdir) ofrecen una alternativa portable para entornos donde flock no está disponible, pero requieren una detección explícita de bloqueos obsoletos.
• Mantenga siempre el archivo de bloqueo fuera del directorio temporal y escriba entre comillas dobles todas las variables utilizadas durante la limpieza.

La combinación de mktemp + flock + trap permite crear scripts protegidos frente a invocaciones simultáneas, fallos impredecibles y manipulaciones maliciosas del sistema de archivos.