直接用 alias 拦截 rm -rf 不可行，因 alias 仅重定义命令名，无法覆盖带参数组合；需用函数+alias 组合实现拦截、日志与人工确认。
直接用 alias 拦截 rm -rf 不可行，因为 alias 只能重定义命令名本身（如 rm），无法覆盖已带参数的组合（如 rm -rf）。但可以通过函数+alias 组合实现有效拦截，并配合日志记录，形成实用防护层。
用函数替代 rm-rf，强制人工确认
在 ~/.bashrc 或 /etc/bash.bashrc 中定义函数，再用 alias 将常见误输变为主动提醒：
- 添加如下代码：
rmrf() {
echo "⛔ 检测到高危操作：rm -rf $*" >&2
logger -t "alias-guard" "USER:$(whoami) HOST:$(hostname) CMD:rm -rf $*"
echo "请改用以下任一方式：" >&2
echo " • 确认后手动执行：command rm -rf \"\$@\"" >&2
echo " • 使用安全删除工具：trash \"\$@\"（需先安装 trash-cli）" >&2
}- 再设置别名：
alias rm-rf='rmrf'、alias 'rm -rf'='rmrf'（后者在部分 Shell 中不生效，推荐前者） - 这样输入
rm-rf /tmp/test或rm -rf /tmp/test（若 Shell 支持）都会触发函数
统一接管 rm 命令，加日志+参数校验
更彻底的做法是让所有 rm 调用都经过自定义逻辑，既能记录又能拦截危险模式：
- 定义函数：
safe_rm() {
# 记录完整命令行
logger -t "safe-rm" "USER:$(whoami) PWD:$(pwd) ARGS:$*"
<h1>拦截显式含 -rf 的调用</h1><p>if [[ "$<em>" == </em>"-rf"<em> ]] || [[ "$</em>" == <em>"-Rf"</em> ]] || [[ "$<em>" == </em>"-rF"* ]]; then
echo "❌ 明确拒绝 rm -rf 类操作。详情见 /var/log/syslog 中 safe-rm 日志。" >&2
return 1
fi</p><h1>允许其他安全模式（如 -i、-I、--one-file-system）</h1><p>command rm "$@"
}- 启用：
alias rm='safe_rm' -
logger会将记录写入系统日志（/var/log/syslog或journald），便于审计
确保生效与验证方式
配置完成后需重载并验证是否真正起作用：
- 运行
source ~/.bashrc（用户级）或sudo source /etc/bash.bashrc（全局） - 检查是否加载：
type rm应显示 “rm is aliased to ...”；type rmrf应显示 “is a function” - 测试拦截：
rm-rf /dev/null或rm -rf ./test应输出警告而非执行 - 查日志：
journalctl -t "safe-rm" -n 10 --no-pager或grep "alias-guard" /var/log/syslog
补充建议：与系统审计联动
单纯依赖 alias 函数有绕过可能（如用 \rm -rf 或 command rm -rf）。建议叠加基础防护：
- 启用 Linux auditd，监控
/bin/rm执行：auditctl -a always,exit -F path=/bin/rm -F perm=x - 堡垒机或运维平台中同步配置高危命令模板（如匹配
rm.*-rf正则），实现双保险 - 关键服务器上禁用 root 直接登录，所有敏感操作走 sudo + 日志审计
