Shell 脚本健壮性入门：先让脚本在出错时停下来，再谈自动化

很多 Shell 脚本在手边跑得好好的，一放到定时任务或别人机器上就悄悄出问题：目录不存在却继续往下跑，某个命令失败了后面的清理步骤照样执行，最后数据乱了还找不到是哪一步先错的。健壮性不是把脚本写得更长，而是让它在出错时尽早停下来、说清楚错在哪里、并且不把错误状态扩散到下一步。

先给脚本立三条规矩

第一行通常可以写成 set -euo pipefail。其中 -e 让任何命令失败就立即退出，而不是带着错误结果继续跑；-u 让引用了未定义变量时直接报错，避免把空变量当成合法路径；pipefail 让管道中任何一段失败都算失败，避免前面的命令出错却被最后一段的成功掩盖。这三项组合起来，脚本的默认行为就从“尽量跑完”变成了“有问题就停”。

当然，-e 也有例外：写在 if 条件里、while 条件里或者后面明确跟了 || 的命令，不会因为失败就退出。理解这个例外很重要，否则会在调试时误以为 -e 失效。需要允许个别命令失败时，用 if ! command; then ... fi 明确写出来，比偷偷关掉 -e 更可读。

变量一定要加引号

不加引号是 Shell 里最常见的坑。写删除目录的命令时，如果目录变量为空，实际执行的命令可能非常危险；如果路径里有空格，也会被拆成多个参数。正确做法是始终给变量加引号，并且在删除、移动这类危险操作前先判断目录非空、路径符合预期。数组也要用带引号的展开形式，不要只取第一个元素。

在脚本开头做前置检查

与其等到中途才发现环境不对，不如在开头一次性检查完：用 command -v 检查依赖命令是否存在；用变量必填的写法要求关键变量必须传入；用 test -d 检查输入目录是否存在。检查失败时打印一句人能看懂的提示再退出，远比跑到一半报错要好。

失败时要能清理现场

临时文件、临时目录和加锁文件如果不清理，下一次运行可能被旧状态干扰。可以用 mktemp -d 创建临时目录，再用 trap 注册退出清理。这样不管脚本是正常结束还是中途失败，清理逻辑都会执行。要注意，清理命令里同样要加引号，变量也要在定义后才注册。

把日志写到标准错误，并带上时间

脚本里的提示信息应该区分正常输出和诊断信息。正常结果可以输出到标准输出，方便被管道或别的程序接走；报错和进度提示则输出到标准错误。给日志加一个简单的函数，统一带上时间戳，后面排查时就不用靠猜顺序。调试时可以临时打开 set -x 看每条命令的展开结果，但正式运行前要记得关掉，避免把敏感参数打进日志。

一个最小骨架

骨架可以这样写：先用 set -euo pipefail 开头，再定义一个带时间戳的日志函数；接着检查关键变量是否传入、检查依赖命令是否存在、检查输入目录是否存在；然后创建临时目录并注册清理；最后切换到工作目录并开始真正的工作。这个骨架没有多余功能，但已经把“失败就停、变量有检查、临时目录可清理、日志可追踪”这几件事做到了。

上线前的自查清单

第一，换一个干净目录、换一个普通用户再跑一遍，确认没有依赖当前工作目录或个人环境变量的隐藏假设。第二，把关键变量故意设为空、把输入目录改成不存在，看脚本是不是在开头就报错退出，而不是跑到一半。第三，检查所有删除、覆盖操作前面有没有二次确认或路径校验，尤其不要在变量可能为空时执行删除或移动。第四，确认脚本退出码有意义：成功返回 0，失败返回非 0，调用方和定时任务才能据此判断。

健壮的脚本不追求一次写出所有功能，它追求的是：出错时停得住、错因说得清、现场清得掉。先把这三件事做到，再去加功能，自动化才真正省心。