shell 脚本 幂等性核心是多次执行与一次效果相同：检查先行、原子覆盖、标记机制、安全加固需“只减不增”。如查用户再创建、用 mv 原子替换配置、设标记文件防重初始化、禁用服务前验证状态并回溯权限。
保证 Shell 脚本的幂等性，核心是让脚本“多次执行和执行一次效果完全相同”——不重复创建、不覆盖关键配置、不误删已有资源，尤其在 自动化 部署或安全加固场景中，这是避免线上事故的关键设计原则。
检查先行：每次执行前确认状态
不要假设环境初始状态，而是用 if 显式判断目标是否已存在或已生效。比如添加用户前查 UID，写入配置前用 grep -q 检查是否已存在对应行，启用服务前用 systemctl is-active --quiet 判断是否已在运行。
- 推荐用
id -u username &>/dev/NULL替代useradd直接执行 - 向
/etc/hosts追加记录时，先grep -F "127.0.0.1 myapp" /etc/hosts，仅当不存在才echo …… >> - 设置 sysctl 参数前，用
sysctl -n net.ipv4.ip_forward 2>/dev/null获取当前值，避免无差别写入
原子操作 + 安全覆盖：用临时文件和 mv 替代直接写
直接 echo > file 或 sed -i 修改 配置文件 风险高，可能中断写入导致损坏。应先生成临时文件，校验内容无误后，用 mv 原子替换（mv 在同一文件系统下是原子的）。
- 例如生成新
/etc/sysctl.d/99-secure.conf：先写入/tmp/sysctl.XYZ，再mv /tmp/sysctl.XYZ /etc/sysctl.d/99-secure.conf - 配合
diff -q比较新旧文件，若内容一致则跳过替换，减少磁盘 I/O 和触发 reload 的次数 - 对敏感文件（如
/etc/shadow），绝不直接修改，只通过usermod、passwd等专用命令间接变更
标记机制：用状态文件或锁文件记录“已完成”
对无法靠检查资源状态判断的操作（如一次性初始化 数据库 表、生成密钥对），引入外部标记。常见做法是在 /var/lib/myapp/ 下创建带时间戳或哈希的完成标记文件，并在脚本开头检查它是否存在。
- 执行关键初始化前：
[-f /var/lib/myapp/init-done] && exit 0 - 成功后：
touch /var/lib/myapp/init-done && chmod 600 /var/lib/myapp/init-done - 标记文件路径需固定、权限严格（避免被普通用户篡改），且不应放在
/tmp等易清理目录
安全加固类操作的特殊处理
涉及权限收紧、服务禁用、防火墙 规则等安全动作，更要强调“只减不增”和“可逆验证”。例如关闭 telnet 服务，不能只 systemctl stop telnet，而要：
- 先确认它当前未启用：
! systemctl is-enabled telnet &>/dev/null才执行后续 - 禁用并屏蔽：
systemctl disable --now telnet.socket telnet.service 2>/dev/null - 补充验证：
ss -tln | grep :23应无输出，systemctl list-dependencies --reverse telnet确认无依赖残留 - 所有
chmod、chown操作前，用stat -c "%U:%G %a" /path记录原始权限，便于审计或回滚
