Linux Shell脚本实现全生命周期自审计需组合多机制：合并stdout/stderr并加时间戳、注入启动/命令/退出审计点、原子写入防竞态、记录元数据与调用栈。
在 Linux Shell 脚本中，用 exec > >(tee -a logfile) 可以将后续所有标准输出（stdout）追加写入日志文件，同时仍显示在终端。但它默认不捕获标准错误（stderr），也不记录脚本启动、退出、命令执行前后的上下文（如时间戳、命令行、返回码），因此不能直接实现“全生命周期自审计”。要真正达成可追溯、可回放、含元信息的完整运行轨迹落盘，需组合多个机制。
覆盖全部输出流：stdout + stderr + 时间戳
仅重定向 stdout 会遗漏错误信息。应统一合并并打标：
- 用
exec > >(tee -a "$LOGFILE") 2>&1将 stderr 重定向到 stdout，再一并 tee；但这样丢失错误标识，不利于快速识别异常。 - 更推荐方式：用
stdbuf和ts（来自 moreutils）增强可读性：exec > >(stdbuf -oL -eL ts '[%Y-%m-%d %H:%M:%S] ' | tee -a "$LOGFILE") 2>&1
这样每行输出自动带精确到秒的时间戳，且保持行缓冲，避免日志错乱。
记录关键审计事件：启动、命令、退出、返回码
单纯重定向无法知道“哪条命令开始执行”、“是否成功”、“脚本何时结束”。需主动注入审计点：
- 脚本开头记录启动信息：
echo "=== SCRIPT STARTED at $(date '+%F %T') ===" | tee -a "$LOGFILE" - 对重要命令，用包装函数记录执行与结果：
log_run() { echo "→ $*" | tee -a "$LOGFILE"; "$@"; echo "← $* → exit code: $?" | tee -a "$LOGFILE"; }
然后调用log_run ls -l /tmp，日志中就能看到命令、输出、返回码三段式痕迹。 - 脚本末尾捕获退出：
trap 'echo "=== SCRIPT EXITED at $(date "+%F %T") with status $?" | tee -a "$LOGFILE"' EXIT
避免日志被覆盖或截断：原子写入与文件轮转
使用 >> 是追加，但若多进程并发写同一文件，仍可能因缓存/竞态导致日志混行或丢失。生产环境建议：
- 用
script命令封装整个脚本执行（含交互）：script -qec './myscript.sh' /dev/null | ts '[%F %T] ' | tee -a "$LOGFILE"
它能捕获所有 tty 输出（含颜色、控制字符），适合调试复杂流程。 - 对长期运行脚本，配合
logrotate或每日按名分割：LOGFILE="/var/log/myscript_$(date +\%Y\%m\%d).log"，避免单文件无限增长。
补充元数据：用户、主机、环境、PID
审计日志需具备归属和上下文。脚本启动时应固化基础元信息：
- 写入头信息块（只一次）：
{ echo "=== AUDIT HEADER ==="; echo "HOST: $(hostname)"; echo "USER: $(whoami)"; echo "PID: $$"; echo "START: $(date -Iseconds)"; echo "ENV: $(env | grep -E '^(PATH|HOME|LANG|SHELL)=' | tr '\n' '; ')"; echo; } >> "$LOGFILE" - 对敏感操作（如修改配置、删除文件），额外记录调用栈：
echo "⚠️ rm -rf $TARGET (called from line ${BASH_LINENO[0]} in ${FUNCNAME[1]:-main})" | tee -a "$LOGFILE"
