用函数式思维写 shell 之 config 脚本
shell 练习：用函数式思维写 shell，以服务器安全-封锁 ip/解封 ip 作为示例。
config 脚本代码
bash
#!/bin/bash
# desc: 生成配置文件
# date: 2023-12-04 15:00
# author: echoxu
# 功能: 生成可自定义的配置文件
. lib/common
. lib/blacklist
. lib/nginx
. lib/firewall
# 设置默认值：当输入为空时
get_config_file_section_default_value(){
section_name=$1
section_value=''
case "$section_name" in
FilePath)
section_value=${HOME}/.server_secure.conf
;;
nginxlog_path)
section_value=/usr/share/nginx/logs/Access.log
;;
securelog_path)
section_value=/var/log/secure
;;
limit_count)
section_value=0
;;
blacklist_path)
section_value=${HOME}/.blacklist
;;
whitelist_path)
section_value=${HOME}/.whitelist
;;
server_secure_log_path)
section_value=${HOME}/server_secure.log
;;
block_ip_type)
section_value=firewalld
;;
*)
;;
esac
echo $section_value
}
# 检查封禁 ip 的方式, 1 为防火墙 2 为 Nginx host deny file
valid_block_ip_type_from_input(){
block_ip_type=$1
case "$block_ip_type" in
1)
block_ip_type=firewalld
;;
2)
block_ip_type=nginx
;;
*)
return 106
;;
esac
echo $block_ip_type
}
# 数据校验：当输入不为空时
valid_data_from_input(){
valid_data_name=$1
valid_section_value=$2
case "$valid_data_name" in
FilePath|nginxlog_path|securelog_path|blacklist_path|whitelist_path|server_secure_log_path)
real_path=$(get_real_path $section_value)
is_path_result=$(vaild_is_path_from_input $real_path)
code=$?
if [ $code != 0 ];then
return $code # 校验不通过继续往上层调用返回错误码
else
echo $is_path_result
fi
;;
limit_count)
is_number_result=$(vaild_is_number_from_input $valid_section_value)
code=$?
if [ $code != 0 ];then
return $code
else
echo $is_number_result
fi
;;
block_ip_type)
is_correct_input=$(valid_block_ip_type_from_input $valid_section_value)
code=$?
if [ $code != 0 ];then
return $code
else
echo $is_correct_input
fi
;;
*)
;;
esac
}
# 中间函数
config_file_add_section_handler(){
section_name=$1
section_value=$2
if [ -z "$section_value" ];then
section_value=$(get_config_file_section_default_value $section_name)
else
valid_result=$(valid_data_from_input $section_name $section_value)
code=$?
if [ $code != 0 ];then
return $code
else
section_value=$valid_result
fi
fi
echo $section_value
}
# 配置文件添加数据
config_file_add_section(){
section_name=$1
section_value=$2
section_handler_result=$(config_file_add_section_handler $section_name $section_value)
code=$?
if [ $code != 0 ];then
case "$code" in
100)
err_code $code "$values_from_args 是一个目录路径，请输入正确的文件路径..."
exit 1
;;
104)
err_code $code "$values_from_args 文件不存在，请先创建它..."
exit 1
;;
101)
err_code $code "抱歉，你无法对 $values_from_args 进行读写操作..."
exit 1
;;
102)
err_code $code "你输入的: $values_from_args 不是一个数字..."
exit 1
;;
106)
err_code $code "你输入的: $values_from_args 不在当前设定的区间范围内,请输入 1 或者 2..."
exit 1
;;
esac
else
section_value=$section_handler_result
fi
# 保存配置文件路径
if [[ $section_name == "FilePath" ]];then
echo "FilePath=$section_value" > $config_path_temp
fi
get_config_path_result=$(get_config_path)
echo "$section_name=$section_value" >> $get_config_path_result
}
# 设置配置文件参数
set_config_path(){
while true
do
echo "该命令将创建一个配置文件，在其中存储配置信息。"
read -p "请输入配置文件路径 (回车将使用 ~/.blascklist.conf 作为默认配置文件路径):" config_path
config_file_add_section FilePath $config_path
get_config_path_result=$(get_config_path)
cat /dev/null > $get_config_path_result
read -p "请输入 nginx 日志路径 (回车将使用 /usr/share/nginx/logs/Access.log 作为路径): " nginxlog_path
config_file_add_section nginxlog_path $nginxlog_path
read -p "请输入 secure 日志路径 (回车将使用 /var/log/secure 作为路径): " securelog_path
config_file_add_section securelog_path $securelog_path
read -p "请输入 limit (回车将使用 0 作为其值): " limit_count
config_file_add_section limit_count $limit_count
read -p "请输入 黑名单 文件路径 (回车将使用 ~/.blacklist 作为路径): " blacklist_path
config_file_add_section blacklist_path $blacklist_path
read -p "请输入 白名单 文件路径 (回车将使用 ~/.whitelist 作为路径): " whitelist_path
config_file_add_section whitelist_path $whitelist_path
read -p "请输入 黑名单/白名单 操作日志路径 (回车将使用 ~/server_secure.log 作为路径): " server_secure_log_path
config_file_add_section server_secure_log_path $server_secure_log_path
echo && echo -e "${Tip}: 请仔细阅读并选择使用何种方案来封禁 ip"
echo -e "${Tip}: 使用防火墙方案不用重启 Nginx，但误封操作可能导致 SSH 连接失败"
echo -e "${Tip}: 使用 Ningx Host Deny 方案需要重启 Nginx，但不会影响 SSH 连接"
echo && echo -e "${Red_font_prefix}${Font_color_suffix}${Green_font_prefix}1.使用 Firewwall${Font_color_suffix}"
echo -e "${Green_font_prefix}2.使用 Nginx Host Deny${Font_color_suffix}" && echo
read -p "请输入 [1-2] 来选择封禁 ip 的方案 (回车将使用 防火墙 来封禁 ip): " block_ip_type
config_file_add_section block_ip_type $block_ip_type
break
done
echo && echo -e "你使用了 ${Green_font_prefix}[$get_config_path_result]${Font_color_suffix} 作为配置文件路径" && echo
}
# 打印配置文件路径
print_config_file_path(){
config_path=$(get_config_path)
# 用于接收被调用方的返回值并将此返回值继续返回给调用方
# 当函数调用层数过多(超过两层)时再继续用 echo 作为函数返回值的话会导致最里层的调用函数的错误信息无法正确打印
code=$?
if [ $code != 0 ];then
return $code
fi
echo $config_path
}
# handler 函数
block_ip_type_change_handler(){
block_ip_type_input=$1
block_ip_type_after_change=''
if [ "$block_ip_type_input" = "firewalld" ];then
block_ip_type_after_change=nginx
fi
if [ "$block_ip_type_input" = "nginx" ];then
block_ip_type_after_change=firewalld
fi
echo $block_ip_type_after_change
}
# 数据迁移: 将防火墙数据或 nginx host deny 数据迁移并导入
migrate_data(){
block_ip_type_input=$1
log_path=$(get_section_value_from_config_path server_secure_log_path)
code=$?
print_return_code_message_of_get_section_path $code
if [ ! -f $log_path ];then
err_code 104 "操作日志记录文件: $log_path 不存在..."
exit 1
fi
# firewalld->nginx
if [ "$block_ip_type_input" = "firewalld" ];then
nginx_deny_file_path=$(get_nginx_host_deny_path)
# 有备份需求可开启
# datatime=`date +'%F-%T'`
# sudo cp $nginx_deny_file_path $nginx_deny_file_path-${datatime}
firewall_ip=$(firewall_op_with_get)
cat $nginx_deny_file_path |awk -F ' ' '{print $2}'|awk -F ';' '{print $1}' > /tmp/format_nginx_deny_file.txt
cat $firewall_ip /tmp/format_nginx_deny_file.txt |sort|uniq -d > /tmp/firewall_nginx_common.txt # 两个文件共同拥有的内容
cat $firewall_ip /tmp/firewall_nginx_common.txt |sort|uniq -u > /tmp/firewall_exclude_common.txt # 除去共同部分，只在 firewalld 中独有的，也就是我们需要添加进 nginx deny file 中的
if [ `cat /tmp/firewall_exclude_common.txt|wc -l` = 0 ];then
return 208
fi
# 读取文件优先使用 read line 不要使用 cat, cat 速度比较慢
while read line || [ -n "$line" ]
do
sudo echo "deny $line;" >> $nginx_deny_file_path
echo -e "${Succeed}: IP: $line 已添加进 Nginx host deny 中."
echo "$(date +'%F-%T') 已封禁入侵ip(f2n+): $line" >> $log_path
done < "/tmp/firewall_exclude_common.txt"
md5sum $nginx_deny_file_path |awk '{print $1}' > /tmp/.nginx_deny_md5
reload_nginx
fi
# nginx->firewalld
if [ "$block_ip_type_input" = "nginx" ];then
nginx_host_deny_ip_file=$(get_nginx_host_deny_path)
blacklist_path=$(get_section_value_from_config_path blacklist_path)
code=$?
print_return_code_message_of_get_section_path $code
if [ ! -f $blacklist_path ];then
err_code 104 "黑名单文件: $blacklist_path 不存在..."
exit 1
fi
# 有备份需求可开启
# datatime=`date +'%F-%T'`
# cp $blacklist_path $blacklist_path-${datatime}
firewall_ip=$(firewall_op_with_get)
# 使 firewalld 和 blacklist 数据一致(在该脚本未上线之前，firewalld 数据是要多余 blacklist )
cat $blacklist_path $firewall_ip |sort|uniq -d > /tmp/blacklist_firewall_common.txt
cat $firewall_ip /tmp/blacklist_firewall_common.txt |sort|uniq -u > /tmp/firewall_exclude_blcak_common.txt # 获取 firewalld 新增的内容
while read line || [ -n "$line" ]
do
if [ -z $line ];then
echo "黑名单和防火墙数据一致，无需同步..."
else
echo $line >> $blacklist_path
echo -e "${Info}: IP: $line 已添加进黑名单列表中."
fi
done < "/tmp/firewall_exclude_blcak_common.txt"
cat $nginx_host_deny_ip_file |awk -F ' ' '{print $2}'|awk -F ';' '{print $1}' > /tmp/format_nginx_deny_file.txt
cat $firewall_ip /tmp/format_nginx_deny_file.txt |sort|uniq -d > /tmp/firewall_nginx_common.txt
cat /tmp/format_nginx_deny_file.txt /tmp/firewall_nginx_common.txt |sort|uniq -u > /tmp/nginx_exclude_firewall_common.txt # 获取 nginx deny file 新增的内容
if [ `cat /tmp/nginx_exclude_firewall_common.txt|wc -l` = 0 ];then
return 208
fi
while read line || [ -n "$line" ]
do
# 这里不使用 firewall_op_with_add $line 是因为这个函数要校验是否在防火墙中存在，这个非常耗时
sudo /usr/bin/firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=$line drop" > /dev/null 2>&1
echo -e "${Succeed}: IP: $line 已添加进防火墙列表中."
echo $line >> $blacklist_path
echo -e "${Succeed}: IP: $line 已添加进黑名单列表中."
echo "$(date +'%F-%T') 已封禁入侵ip(n2f+): $line" >> $log_path
done < "/tmp/nginx_exclude_firewall_common.txt"
md5sum $blacklist_path |awk '{print $1}' > /tmp/.blacklist_md5
firewalld_reload
fi
}
# 更换现有的封禁 ip 的方案, 如 firewalld 换为 nginx
# todo: 是否删除原来 firewall 中的数据
block_ip_type_change(){
block_ip_type_res=$(get_section_value_from_config_path block_ip_type)
code=$?
print_return_code_message_of_get_section_path $code
echo -e "${Info}: 当前封禁 ip 的方案为: $block_ip_type_res"
res_after_change=$(block_ip_type_change_handler $block_ip_type_res)
echo -e "${Tip}: 你确定要更改为使用 $res_after_change 方案吗 (y/n)?"
read -p "请输入 (y/n)" answer
case $answer in
y|Y|yes)
conf_path_res=$(get_config_path)
echo -e "${Succeed}: 操作已确认，修改后的封禁 ip 方案为 : $res_after_change"
echo -e "${Tip}: 正在进行数据迁移操作，请耐心等待..." && echo
# echo "开始时间：$(date +'%F-%T')"
migrate_data $block_ip_type_res
code=$?
if [ $code = 208 ];then
echo -e "${Tip}: $block_ip_type_res 未新增数据，$res_after_change 列表无需更新..."
fi
# echo "结束时间：$(date +'%F-%T')"
rm -rf /tmp/blacklist_firewall_common.txt /tmp/firewall_exclude_blcak_common.txt /tmp/firewall_exclude_common.txt
rm -rf /tmp/format_nginx_deny_file.txt /tmp/firewall_nginx_common.txt /tmp/nginx_exclude_firewall_common.txt
rm -rf /tmp/firewall_rules_ip*
sed -i 's/block_ip_type='"${block_ip_type_res}"'/block_ip_type='"${res_after_change}"'/' $conf_path_res
echo -e "${Succeed}: 已将原方案：$block_ip_type_res 中的数据迁移到 $res_after_change 里"
;;
n|N|no)
echo -e "${Info}: 取消操作，当前封禁 ip 的方案为: $block_ip_type_res"
;;
*)
echo -e "${Error}: 请输入 y/n"
;;
esac
}
# 配置文件路由函数
config_router(){
flags=$1
case "$flags" in
config|-c)
set_config_path
;;
find|-f)
result=$(print_config_file_path)
code=$?
if [ $code != 0 ];then
err_code $code "没有找到配置文件, 请先用 $0 -c 来创建它..."
else
echo -e "${Info}: 配置文件路径为：$result"
fi
;;
migrate|-m)
block_ip_type_change
;;
*)
echo -e "${Error}: Usage: $0 -c|-f|-m"
echo -e "${Info}: -c: 生成配置文件"
echo -e "${Info}: -f: 查找配置文件路径"
echo -e "${Info}: -m: 变更封禁 ip 的方案"
return 1
;;
esac
}
config_router $1