服务器安全合规自动修复需遵循“识别→验证→安全修复→留痕”闭环，优先处理SSH禁root、关非必要服务、设密码策略、固文件权限、启防火墙等确定性强项，避开需人工判断场景；脚本须自带检查-修复-验证逻辑、配置备份、语法校验、操作日志；权限设为0700、禁网络直执行、敏感操作交互确认；修复后生成审计报告并返回状态码。
开发 Shell 脚本实现服务器安全合规性自动修复，核心在于“识别风险 → 验证状态 → 安全执行修复 → 留痕验证”。不能盲目一键修复，必须兼顾准确性、可逆性和审计要求。
明确合规基线与可自动化项
不是所有合规项都适合脚本修复。优先处理确定性强、副作用小、有标准修复路径的项目，例如：
- 禁用 root 远程 SSH 登录（修改 /etc/ssh/sshd_config 中 PermitRootLogin no）
- 关闭不必要服务（如 telnet、rsh、ftp，用 systemctl disable --now）
- 设置密码策略（更新 /etc/pam.d/common-password 或 /etc/security/pwquality.conf）
- 加固文件权限（如 /etc/shadow 权限设为 000，/etc/passwd 设为 644）
- 启用防火墙并默认拒绝入站（ufw default deny incoming 或 firewalld 规则）
避开需人工判断的项：异常登录行为分析、未知进程溯源、应用层逻辑漏洞修复等。
编写健壮、可验证的修复脚本
脚本需自带“检查-修复-验证”闭环，避免重复执行或误操作：
- 每次运行前先检测当前状态（如 grep -q '^PermitRootLogin.*yes' /etc/ssh/sshd_config）
- 修复前备份原配置（cp /etc/ssh/sshd_config /etc/ssh/sshd_config.$(date -u +%Y%m%d%H%M%S).bak）
- 使用 sed -i 替换时加锚点和空格保护（如 sed -i 's/^#*PermitRootLogin.*/PermitRootLogin no/'）
- 关键服务重启前校验配置语法（如 sshd -t && systemctl restart sshd）
- 每步操作记录到日志（含时间戳、操作项、执行结果），例如：echo "$(date '+%F %T') - Disabled root login" >> /var/log/fix-compliance.log
限制执行权限与运行环境
安全修复脚本本身不能成为风险入口：
- 脚本文件权限设为 0700，仅 root 可读写执行
- 禁止从网络直接下载并执行（如不用 curl xxx.sh | bash），必须本地校验 SHA256 后再运行
- 不在生产环境直接运行开发版脚本；先在隔离测试机验证修复效果和回滚流程
- 涉及用户、密码、密钥的操作（如批量重置密码）必须交互确认或依赖外部凭证管理器，不硬编码敏感信息
集成验证与报告机制
修复完成≠合规达成，需输出可审计的结果：
- 脚本末尾汇总修复项、跳过项、失败项，并返回非零退出码标识异常（如修复失败数 > 0 则 exit 2）
- 生成简明 HTML 或 Markdown 报告，含：检查项名称、原始状态、修复后状态、配置文件变更行号、时间戳
- 可选对接 SIEM 或 CMDB：通过 curl 发送 JSON 结果到内部 API，供统一监控平台收录
- 保留最近 5 次备份配置和日志，按日期自动清理旧备份（find /etc/backup/ -name 'sshd_config.*.bak' -mtime +5 -delete）
