Arquivos temporários seguros e diretórios de bloqueio

Os scripts Bash frequentemente precisam de armazenamento temporário — resultados intermediários, marcadores de bloqueio e áreas de preparação. Mas criar arquivos temporários de forma descuidada abre vulnerabilidades sérias.

• Condições de corrida: outro processo pode prever seu nome de arquivo e criar o arquivo primeiro, redirecionando suas gravações.
• Ataques por links simbólicos: um invasor cria um link simbólico no caminho esperado, apontando para um arquivo sensível como /etc/passwd.
• Arquivos deixados para trás: se um script falhar, os arquivos temporários se acumulam e podem expor dados sensíveis.

As duas ferramentas principais que eliminam esses problemas são mktemp e flock. Nesta lição, você aprenderá a usar ambas com segurança e de forma defensiva.

mktemp cria um arquivo temporário com um nome aleatório e imprevisível e retorna seu caminho. Ele cria o arquivo atomicamente, portanto nenhum outro processo pode obter o nome primeiro.

• Sintaxe: mktemp [TEMPLATE] — o modelo deve terminar com pelo menos três caracteres X.
• Cada X é substituído por um caractere aleatório, produzindo um nome único como /tmp/script.aB3kQz.
• O arquivo é criado automaticamente com as permissões 0600 (legível somente pelo proprietário).

Sempre capture imediatamente o caminho retornado em uma variável para que você possa referenciá-lo e removê-lo posteriormente.

Se o script for encerrado inesperadamente — devido a um erro, a um sinal ou ao acionamento de set -e —, os arquivos temporários permanecerão no sistema, a menos que você registre um manipulador de limpeza.

O comando integrado trap executa um comando quando o shell recebe um sinal ou é encerrado. O padrão consagrado para a limpeza de arquivos temporários é:

• Registre a armadilha imediatamente depois de criar o arquivo temporário.
• Registre a armadilha em EXIT para que a limpeza seja executada tanto no encerramento normal quanto no anormal.
• Registre também as armadilhas INT e TERM se o script for demorado ou interativo.

Isso garante que não haja arquivos órfãos, mesmo que o script seja encerrado durante a execução.

Às vezes, é necessário ter um diretório inteiro para preparar vários arquivos — por exemplo, ao criar um arquivo compactado ou extrair um tarball antes do processamento. Use mktemp -d para criar um diretório temporário seguro.

• O diretório é criado com as permissões 0700 (acesso somente do proprietário).
• Faça a limpeza com rm -rf no seu trap — tenha cuidado para remover somente a variável, nunca um caminho fixo.
• Use aspas duplas e verifique se a variável não está vazia antes de chamar rm -rf, como uma verificação de segurança adicional.

Tarefas do Cron, temporizadores do systemd e scripts acionados manualmente podem iniciar facilmente várias instâncias do mesmo script ao mesmo tempo. Isso causa:

• Processamento duplicado: Os mesmos registros do banco de dados ou arquivos são processados duas vezes.
• Saída corrompida: Duas instâncias escrevem simultaneamente no mesmo arquivo de saída.
• Deadlocks ou estado parcial: Ambas as instâncias modificam recursos compartilhados em uma ordem intercalada e imprevisível.

A solução tradicional era gravar um arquivo PID e verificá-lo na inicialização — mas essa abordagem apresenta uma janela de condição de corrida entre a verificação e a gravação. A solução moderna correta é flock, que usa o mecanismo de bloqueio consultivo do kernel para garantir um bloqueio sem condições de corrida.

flock adquire um bloqueio consultivo em um descritor de arquivo antes de executar um comando. O uso mais simples envolve todo o seu script a partir da linha de comando:

flock -n /var/lock/myscript.lock bash myscript.sh

• -n (não bloqueante): encerra imediatamente com o status 1 se o bloqueio já estiver mantido, em vez de aguardar.
• Sem -n, flock bloqueia até que o bloqueio fique disponível — útil para enfileiramento.
• O próprio arquivo de bloqueio é apenas um marcador; seu conteúdo não importa. É seguro mantê-lo entre as execuções.
• Quando o processo que mantém o bloqueio é encerrado, o kernel o libera automaticamente — não é necessária nenhuma limpeza manual.

Para fazer o bloqueio dentro de um script, em vez de envolvê-lo externamente, use exec para abrir um descritor de arquivo e, em seguida, chame flock nesse descritor. Esse é o padrão idiomático usado em scripts de produção.

• exec 200>"$LOCKFILE" abre o arquivo no descritor 200 para gravação (criando-o se necessário).
• flock -n 200 tenta bloquear o descritor 200 sem bloquear.
• Como o bloqueio está vinculado ao descritor de arquivo (não ao nome do arquivo), ele é liberado automaticamente quando o processo do shell é encerrado.
• Os números de descritor de 200 a 299 são usados convencionalmente para evitar conflitos com stdin/stdout/stderr.

Scripts defensivos reais precisam dos dois recursos: um bloqueio para impedir execuções simultâneas e arquivos temporários seguros para dados intermediários. Veja o padrão completo que combina as duas técnicas:

• Adquira primeiro o bloqueio — antes de criar qualquer arquivo temporário — para que apenas uma instância execute qualquer trabalho.
• Crie os recursos temporários depois que o bloqueio for confirmado.
• Registre o trap imediatamente após criar os recursos temporários, para que a limpeza seja garantida independentemente de como o script seja encerrado.
• O arquivo de bloqueio nunca deve ficar no diretório temporário — ele precisa persistir entre as execuções para que flock possa referenciá-lo.

Em sistemas nos quais flock não está disponível (alguns sistemas embarcados ou sistemas de arquivos de rede, como NFS), você pode usar diretórios de bloqueio. mkdir é atômico em sistemas POSIX: ele só é bem-sucedido se o diretório ainda não existir.

• Crie o diretório de bloqueio com mkdir /tmp/myscript.lock.d — se outra instância já o tiver criado, mkdir falhará imediatamente.
• Armazene metadados (como o PID) dentro do diretório para fins de diagnóstico.
• Sempre remova o diretório em um trap para EXIT.
• Observação: Ao contrário de flock, um bloqueio de diretório NÃO é liberado automaticamente se o processo for encerrado com -9 ou se a máquina for reiniciada — adicione uma verificação para detectar bloqueios obsoletos.

Às vezes, você deseja aguardar um bloqueio em vez de falhar imediatamente — mas não quer esperar para sempre. flock oferece suporte a um tempo limite com a opção -w.

• flock -w 10 200 aguarda até 10 segundos pelo bloqueio e, em seguida, encerra com o status 1 se ele ainda estiver indisponível.
• Isso é ideal para scripts que devem aguardar na fila atrás de um processo predecessor de curta duração, mas desistir se esse processo estiver travado.
• Combine -w com uma mensagem de erro significativa que inclua o contexto — o caminho do arquivo de bloqueio e por quanto tempo você aguardou — para que os operadores possam diagnosticar travamentos rapidamente.

Antes de distribuir qualquer script que use arquivos temporários ou bloqueios, percorra esta lista de verificação:

• Use mktemp, nunca caminhos fixos — /tmp/myapp.tmp é previsível e pode ser explorado.
• Capture o caminho imediatamente — TMPFILE=$(mktemp ...) antes de qualquer outro comando.
• Registre trap cleanup EXIT imediatamente após a criação — não no final do script.
• Coloque aspas duplas em todos os usos de variáveis — rm -f "$TMPFILE", nunca rm -f $TMPFILE.
• Prefira flock a arquivos PID — gerenciado pelo kernel e liberado automaticamente em caso de falha.
• Use -n não bloqueante por padrão — bloqueios silenciosos que aguardam ocultam problemas de desempenho.
• Coloque o arquivo de bloqueio fora do diretório temporário — para que ele sobreviva ao trap de limpeza.
• Teste o comportamento da limpeza — execute o script e aplique kill -9 durante a execução; verifique se não restam arquivos (em scripts baseados em flock; bloqueios de diretório exigem cuidado adicional).

Uma tarefa do Cron é executada a cada minuto e processa um arquivo compartilhado. Você deseja que qualquer nova invocação se encerre imediatamente com um erro se uma execução anterior ainda estiver ativa, sem aguardar. Qual invocação de flock implementa isso corretamente?

Nesta lição, você aprendeu as duas ferramentas essenciais para o gerenciamento defensivo de recursos no Bash:

• mktemp cria arquivos temporários (0600) e diretórios (0700) com permissões seguras e nomes imprevisíveis, eliminando condições de corrida e ataques por links simbólicos que afetam caminhos fixos.
• trap cleanup EXIT garante a remoção de arquivos temporários em qualquer encerramento — normal, causado por erro ou causado por sinal — quando registrado imediatamente após a criação.
• flock fornece bloqueio consultivo imposto pelo kernel: use -n para falhar rapidamente em caso de contenção, -w N para aguardar com um tempo limite e o padrão exec 200>file para bloqueio dentro do script, que o kernel libera automaticamente quando o processo é encerrado.
• Diretórios de bloqueio (mkdir) oferecem uma alternativa portátil para ambientes nos quais flock não está disponível, mas exigem detecção explícita de bloqueios obsoletos.
• Mantenha sempre o arquivo de bloqueio fora do diretório temporário e coloque aspas duplas em todas as variáveis usadas na limpeza.

A combinação de mktemp + flock + trap produz scripts seguros contra invocações simultâneas, falhas imprevisíveis e manipulação mal-intencionada do sistema de arquivos.