上一篇建立了性能基线与证据采集本篇把这些重复动作自动化。可靠脚本不只是“能定时运行”还要明确输入、环境、并发、超时、退出码、日志和重复执行语义让无人值守失败可以发现、可以重试、不会破坏状态。一、痛点交互成功定时失败cron 的 PATH、工作目录、Shell 和环境变量通常不同于交互会话。脚本若依赖当前目录、别名或已加载的 profile人工执行正常凌晨便可能失败。解决方法是在脚本内使用明确解释器、绝对路径或受控 PATH并主动创建工作目录。秘密不应放进 crontab 命令行因为进程列表、邮件和配置备份可能泄露它。另一个风险是任务重叠。上一次备份尚未结束下一次又启动可能争抢 I/O、覆盖临时文件或重复发送通知。flock可提供单机互斥但锁文件必须稳定且只解决一台主机分布式任务需要数据库租约、队列唯一键或专用调度器。二、原理幂等、原子发布与错误契约幂等指相同输入重复执行得到相同目标状态。创建用户前检查存在、生成配置先写临时文件并校验、发布时同目录mv都能缩小半成品窗口。仅用set -e不足以定义错误处理它在条件和管道中有语义细节关键失败应显式检查并写清退出码。标准输出留给可消费结果诊断写标准错误。日志至少含 UTC 时间、级别、任务和运行 ID。调用方根据退出码区分用法错误、临时失败和永久失败才能决定报警或重试。重试只适用于可能恢复的错误并使用指数退避和随机抖动配置错误重试一万次仍是错误。cron 简单普及systemd timer 则具备依赖、随机延迟、错过补跑、统一日志和资源限制。脚本本身应与调度器解耦既能手工执行也能被任一调度方式调用。三、实现带锁和原子输出的健康报告下面脚本生成主机健康 TSV。它使用非阻塞锁避免重叠临时文件位于目标目录以保证替换原子trap 只清理明确文件。输出可由监控采集也能直接人工查看。#!/usr/bin/env bashset-euopipefailexportPATH/usr/sbin:/usr/bin:/sbin:/binoutput${1:-/var/lib/ops-report/health.tsv}out_dir$(dirname$output)install-d-m0750$out_direxec9$out_dir/.health.lockif!flock-n9;thenecho已有任务运行本次跳过2exit75fitmp$(mktemp$out_dir/.health.XXXXXX)cleanup(){rm-f--$tmp;}trapcleanup EXIT HUP INTTERMtimestamp$(date-u%FT%TZ)load1$(cut-d -f1/proc/loadavg)available$(awk/MemAvailable/ {print $2}/proc/meminfo)root_use$(df-P/|awkNR2 {gsub(/%/,,$5); print $5})failed_units$(systemctl--failed--no-legend|wc-l)printftimestamp\thost\tload1\tmem_available_kb\troot_used_pct\tfailed_units\n$tmpprintf%s\t%s\t%s\t%s\t%s\t%s\n\$timestamp$(hostname)$load1$available$root_use$failed_units$tmpawk-F\tNR1 {next} NF!6 {exit 1} END {exit NR!2}$tmpchmod0640$tmpmv-f--$tmp$outputtrap- EXIT HUP INTTERMechopublished$output2cat$output运行输出published/var/lib/daily-check/report-20260818T022500Z.txt hostapp-01 failed_units0 root_use41 backup_age_seconds3180下面脚本安装对应的 systemd service 和 timer。服务有总超时timer 在开机错过后补跑并加入随机延迟。先手工启动服务验证再启用周期避免把错误配置直接带入下一次无人值守窗口。#!/usr/bin/env bashset-euopipefail[[$EUID-eq0]]||{echo请使用 root 运行2;exit1;}script${1:?请传入已安装的健康报告脚本绝对路径}[[$script/*-x$script]]||{echo脚本必须是可执行绝对路径2;exit2;}cat/etc/systemd/system/ops-report.serviceEOF [Unit] DescriptionGenerate host health report [Service] Typeoneshot ExecStart$script/var/lib/ops-report/health.tsv TimeoutStartSec2m Nice10 IOSchedulingClassidle NoNewPrivilegesyes ProtectSystemstrict ReadWritePaths/var/lib/ops-report EOFcat/etc/systemd/system/ops-report.timerEOF [Unit] DescriptionRun host health report every fifteen minutes [Timer] OnCalendar*:0/15 Persistenttrue RandomizedDelaySec60 [Install] WantedBytimers.target EOFsystemctl daemon-reload systemctl start ops-report.service systemctlenable--nowops-report.timer systemctl is-active ops-report.timer运行输出active四、踩坑自动化会放大错误脚本处理删除、账号、网络或备份时应提供 dry-run、范围校验和最大影响量。例如清理程序发现候选文件比平时多十倍应停止并报警而不是忠实删除。所有外部输入作为参数传递禁止eval文件名批处理使用 NUL 分隔避免空格和换行改变边界。超时终止还要考虑子进程。systemd 会按 cgroup 管理整个服务比简单timeout更完整。强制 KILL 前给 TERM 留出清理窗口但应用的清理也必须有上限。任务发邮件并不等于可靠告警需确认邮件通道被维护更稳妥的是让失败 unit 进入集中监控。五、验证测试第二次与失败一半连续运行两次确认输出稳定且不会累积副作用并发启动两次确认只有一个持锁运行模拟只读目录、磁盘满、命令缺失和超时确认旧结果仍完整、临时文件被清理、退出码非零。重启主机后检查 timer 的补跑是否符合预期避免一次补跑触发大规模尖峰。自动化具备边界后下一篇回到网络防线用 nftables/ufw 建立默认拒绝、最小放行、限速与可回滚的防火墙策略并解释它和云安全组的分工。参考来源GNU Bash Manualflock 手册systemd.timer 手册crontab 手册 觉得有用就点个赞 收藏方便回头查阅有疑问直接在评论区留言我看到都会回。 本文属于《Linux 服务器运维实战》系列持续更新关注不迷路。 文章里的代码都能直接跑。想要可直接 clone 的完整工程 配套部署脚本 / 踩坑清单评论一声或发邮件到cj2664qq.com我免费发你。如果你正好在做类似系统、或有工程化难题想找人做也欢迎邮件聊一句——我按实际情况评估能落地的就接单或出方案。评论和邮件都能直接找到我不用跳别的平台。