Linux账户注销时自动执行清理脚本应优先使用~/.bash_logout和systemd用户服务：前者适用于交互式Bash登录会话，后者用于终止systemctl --user启动的长期进程，二者配合可确保敏感信息清除、临时文件删除及后台服务收尾。

Linux账户注销时自动执行清理脚本，能有效防止敏感信息残留、临时文件泄露或后台进程滞留。关键在于利用系统提供的标准注销钩子机制，而非依赖不可靠的终端关闭行为。

使用 ~/.bash_logout 执行用户级清理

这是最常用、最可靠的方式，适用于交互式 Bash 登录会话。该文件在用户正常退出登录 shell 时由 bash 自动读取并执行。

• 确保用户 shell 是 bash（可通过 echo $SHELL 确认）
• 编辑 ~/.bash_logout（若不存在则新建），添加清理命令，例如：

rm -f /tmp/myapp_$$_*.tmp
unset API_TOKEN DB_PASSWORD
history -c  # 清空本次会话命令历史（不删除 ~/.bash_history）

注意：$$ 表示当前 shell 进程 PID，可用于生成唯一临时文件名；unset 可清除导出的敏感环境变量（仅对当前 shell 有效）。

配合 systemd 用户服务做进程级收尾

对于通过 systemctl --user 启动的长期服务（如代理、监听器），仅靠 bash_logout 不足以终止它们。需定义带清理逻辑的 service 单元。

• 创建 ~/.config/systemd/user/cleanup-on-exit.service：

[Unit]
Description=Run cleanup before user session ends
BindsTo=graphical-session.target
StopWhenUnneeded=yes
<p>[Service]
Type=oneshot
ExecStart=/bin/sh -c 'rm -rf /run/user/%U/myapp-runtime'
RemainAfterExit=no</p><p>[Install]
WantedBy=default.target</p>

• 启用它：systemctl --user enable cleanup-on-exit.service
• systemd 会在用户会话（如 GNOME、SDDM）完全结束前触发 Stop，比 shell 注销更底层、更确定

避免常见陷阱：哪些操作实际无效

某些看似合理的做法在真实环境中并不可靠：

• 在 ~/.bashrc 中 trap EXIT：非登录 shell（如 SSH 执行单条命令）不会加载 .bashrc，trap 不生效
• 依赖终端模拟器“关闭时运行命令”：GUI 终端（GNOME Terminal、Konsole）设置受用户控制，且无法覆盖 Ctrl+D 或 kill -HUP 等强制退出场景
• 写入 /etc/profile.d/ 或 /etc/bash.bash_logout：影响所有用户，缺乏隔离性，且普通用户无权修改
• 用 at 或 cron 延迟执行清理：注销后用户环境已销毁，at job 无法访问原会话变量或 $HOME 下的私有路径

验证脚本是否真正触发

不要假设配置写完就生效。建议手动测试：

• 在 ~/.bash_logout 中加入日志：echo "$(date): logout triggered" >> ~/logout.log
• 完整退出会话（不是只关终端窗口，而是执行 exit 或 Ctrl+D）
• 重新登录，检查 ~/logout.log 是否有新时间戳记录
• 对 systemd 服务，运行 systemctl --user status cleanup-on-exit.service 查看最近 Stop 日志

安全清理不依赖“最后一次操作”，而取决于可预测、可审计、可复现的执行路径。把逻辑落在标准机制上，比绕过系统设计另起炉灶更稳健。