如何防止 Python 脚本被误当作 Bash 脚本执行

通过 bash 的 debug 陷阱机制，在命令执行前自动检测 .py 文件是否缺失合法 shebang，从而阻止无保护的 python 脚本被意外解释为 bash 代码，避免潜在的安全与数据风险。

在日常开发中，直接运行 ./script.py 是一种相当顺手的方式，但有一个隐患总被忽略：如果脚本头部漏掉了 #!/usr/bin/env python3，Bash 会默认用 shell 语法去解析整个文件。后果可能很严重——比如 import numpy as np 会被当成 import 命令执行，而 ImageMagick 的 import 工具可能会覆盖当前目录下名为 np 的文件。这种“静默误执行”几乎察觉不到，破坏力却不容小觑。

核心防御思路：在命令真正执行前拦截并校验
Bash 提供了一个 DEBUG 陷阱（trap），能在每条命令执行前触发。配合 BASH_COMMAND 变量和文件内容检查，就能精准拦截：

shopt -s extdebug
stop_cmd() {
    # 排除补全、提示符等非用户命令场景
    [[ -n "$COMP_LINE" ]] && return
    [[ "$BASH_COMMAND" == "$PROMPT_COMMAND" ]] && return
    local cmd="$BASH_COMMAND"
    # 检查是否为 .py 文件且无有效 shebang
    if [[ "$cmd" == *.py ]] && ! head -n1 "$cmd" 2>/dev/null | grep -q '^#!.*python'; then
        echo "❌ Blocked: '$cmd' lacks Python shebang and would execute as Bash"
        return 1  # 阻断执行
    fi
}
trap stop_cmd DEBUG

✅ 关键逻辑说明：

• shopt -s extdebug 启用扩展调试模式，让 DEBUG trap 对每一条命令都生效；
• head -n1 "$cmd" 安全读取首行（2>/dev/null 忽略权限或文件不存在错误）；
• grep -q '^#!.*python' 精确匹配常见的 Python shebang（比如 #!/usr/bin/env python3 或 #!/usr/bin/python）；
• 返回 1 会中止当前命令的执行，用户会看到明确的提示，而不是静默出错。

⚠️ 注意事项：

• 这套方案只作用于交互式 Bash 会话（需要放入 ~/.bashrc 并重载）；
• 不影响 python script.py 这种显式调用，也不干扰 chmod +x 权限设置；
• 如果脚本首行是注释（比如 # -*- coding: utf-8 -*-），依然会被拦截——这是预期行为，因为缺失 shebang 本身就意味着不安全；
• 生产环境建议配合预提交钩子（pre-commit hook）强制校验 shebang，形成双重防护。

说到底，自动化拦截是“最后一道防线”，而最佳实践始终是：所有可执行 Python 脚本必须以 #!/usr/bin/env python3 开头，并通过 chmod +x 显式授权。把 DEBUG trap 当作开发环境的安全增强层，能有效降低人为疏忽带来的风险。