history 命令不只是翻看上一条命令的快捷方式，它是 Linux 用户行为记录、故障回溯和安全审计的重要入口。用好它，既要让日常操作更高效，也要为事后核查留痕打基础。
让 history 记录更完整、更可靠
默认的 history 行数（通常 1000 行）和覆盖策略常导致关键命令丢失。需调整环境变量来增强持久性和完整性：
- HISTSIZE 控制当前会话中内存里保存的命令数量（如设为 5000）
- HISTFILESIZE 控制写入 ~/.bash_history 文件的最大行数（建议与 HISTSIZE 一致）
- HISTTIMEFORMAT 加上时间戳，例如 "%F %T "，让每条记录带年月日和时分秒
- 在 ~/.bashrc 中添加：
export HISTSIZE=5000
export HISTFILESIZE=5000
export HISTTIMEFORMAT="%F %T "
改完后执行 source ~/.bashrc 生效。注意：新终端才应用新设置，已有会话仍按旧值运行。
避免敏感命令被记录或泄露
有些操作不该进 history，比如含密码的 curl、mysql 连接或临时调试用的明文密钥。
- 以空格开头的命令（需确保 HISTCONTROL 包含 ignorespace 或 ignoreboth）不会被记录
- 临时清空当前会话历史：运行 history -c；清空并同步到文件：history -cw
- 彻底删除某条记录：先用 history 查出行号（如 123），再执行 history -d 123
- 禁用某次登录的历史记录：启动 shell 时加 HISTFILE=/dev/null bash
高效检索与复用历史命令
比上下箭头更快的方式，能显著提升效率：
- !n 执行第 n 条历史命令（如 !123）
- !! 重复上一条命令；!$ 引用上条命令最后一个参数
- !str 执行最近以 str 开头的命令（如 !git）
- Ctrl+R 启动反向搜索，输入关键词实时匹配，按 Ctrl+R 循环，Ctrl+O 执行选中项
- 配合 history | grep 定向查找，例如：history | grep "systemctl restart"
用于审计与合规的基本实践
在多人共用服务器或需满足等保、ISO27001 等要求时，history 是原始操作证据之一：
- 定期归档用户 history 文件（如每日压缩 ~/.bash_history 并加上主机名和时间戳）
- 结合 last、who 和 /var/log/auth.log，交叉验证谁在何时登录、执行了什么
- 注意：history 可被用户手动清除或篡改，不能作为唯一审计依据；生产环境应启用 auditd 或集中日志系统（如 rsyslog + ELK）捕获真实命令执行事件
- 对关键账号（如 root）可设置只读 history 文件：chattr +a ~/.bash_history（仅追加）或 chown root:root ~/.bash_history && chmod 600 ~/.bash_history
