裸脚本的三种「静默失败」
Bash 默认的容错行为是排障地狱的根源：命令失败不会退出（-e 未开）、未定义变量当空字符串用（-u 未开）、管道只看最后一个命令的退出码（pipefail 未开）。
后果是脚本「看起来跑完了」，实际中途就错了：cd 失败还在原目录继续删文件、变量名打错静默变空、grep | head 掩盖上游崩溃。线上事故往往就藏在这几行里。
cd /data/release && rm -rf old/ # cd 失败时 rm 根本不该执行
cp app.conf /etc/app.conf # 失败了脚本照样往下走
echo "deploy done" # 假象：一切都好第一道防线：set -euo pipefail
shebang 之后立刻加上 set -euo pipefail：-e 任一命令非零即退出；-u 引用未定义变量直接报错而非当空串；-o pipefail 让管道以第一个失败命令的退出码为准。
注意 -e 的例外：条件上下文（if/while/&&/||）中的失败不会触发退出——这是特性不是 bug，cmd || exit 1、if grep -q ... 这类写法依然要显式处理。
#!/usr/bin/env bash
set -euo pipefail
# 调试期可加：逐条回显执行的命令
# set -x清理现场：trap 保底
脚本中途失败或被 Ctrl+C 杀掉时，临时文件、后台子进程、锁文件都会残留。用 trap 挂在 EXIT 上统一清理：无论正常结束、报错退出还是被中断，清理函数都会执行。
临时目录用 mktemp -d 创建（不要拼固定路径，避免并发冲突与符号链接攻击），清理函数只删自己创建的目录。
tmpdir=$(mktemp -d)
cleanup() { rm -rf "$tmpdir"; }
trap cleanup EXIT
# 需要 Ctrl+C / kill 也走一遍显式清理时可再加：
# trap cleanup INT TERM引号纪律：所有展开都加双引号
未加双引号的变量会在空格处拆词、空变量直接消失：rm -rf $dir 在 dir 为空时等于裸 rm -rf（灾难级）。纪律很简单——所有 $var 一律写成 "$var"。
三个高频配套写法：文件名可能以 - 开头时用 -- 分隔符或 ./ 前缀；必填参数用 ${1:?提示} 缺失即报错退出；可选值用 ${2:-默认值}。
rm -rf -- "$dir" # -- 防止文件名被当成选项
src="${1:?用法: $0 <源目录>}" # 缺参数直接报错退出
out="${2:-./dist}" # 提供默认值输入校验与幂等
外部输入（位置参数、环境变量、find 的结果）使用前先验证：依赖的命令用 command -v 检查，路径用 [ -d ]/[ -f ] 检查。宁可启动时报错，不要跑一半才崩。
让脚本可重复执行（幂等）：mkdir -p 代替 mkdir，cp -f/rsync 代替裸 cp。半途失败的脚本可以直接重跑，不用人工清场。
command -v jq >/dev/null || { echo "需要 jq" >&2; exit 1; }
[ -d "$src" ] || { echo "目录不存在: $src" >&2; exit 1; }
mkdir -p "$out" # 幂等：已存在不报错上生产前的调试与清单
三个工具覆盖九成问题：bash -n 只查语法，bash -x 逐行回显执行过程，shellcheck 静态分析能抓住上面几乎所有坑（包括未加引号的变量）。把 shellcheck 接进 CI，脚本质量问题基本绝迹。
最终清单：shebang + set -euo pipefail + trap 清理 + 全变量双引号 + 入参校验 + 幂等写法 + shellcheck 通过。照抄这套骨架，脚本就从「碰运气」变成「可信」。
bash -n deploy.sh # 只查语法
bash -x deploy.sh # 逐行回显执行（调试）
shellcheck deploy.sh # 静态分析（推荐装进 CI）