Linux 自动化运维脚本完全指南

#!/bin/bash
# ── 健壮性三件套（每个生产脚本都应加在 shebang 后第一行）──────────────────────
set -e          # 遇到任何命令返回非零退出码立即终止脚本（等同于 set -o errexit）
set -u          # 引用未声明的变量时报错退出，防止 typo 引发的静默错误
set -o pipefail # 管道中任意命令失败（而非只看最后一个）都视为失败

# ── 使用双引号保护变量，防止空格和通配符展开导致的 Bug ─────────────────────────
SOURCE_DIR="/var/www/my site"        # 路径中有空格
echo "$SOURCE_DIR"                   # ✅ 正确：输出 /var/www/my site
# echo $SOURCE_DIR                   # ❌ 危险：被分割成两个参数

# ── 用 ${VAR:-默认值} 为可能为空的变量提供兜底 ──────────────────────────────
BACKUP_DIR="${BACKUP_DIR:-/root/backups}"   # 若环境变量未设置则用默认值
LOG_LEVEL="${LOG_LEVEL:-INFO}"

# ── 函数化：将重复逻辑封装为函数 ────────────────────────────────────────────────
log() {
    # 统一日志格式：[时间戳] [级别] 消息内容
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] [$1] $2" | tee -a /var/log/myapp.log
}

log "INFO"  "脚本开始执行"
log "ERROR" "发现异常：文件不存在"

#!/bin/bash
set -euo pipefail

# ── 锁文件机制：防止同一脚本被 Cron 或手动触发多次重叠执行 ──────────────────────
LOCK_FILE="/tmp/$(basename "$0").lock"

# 检测锁文件是否存在，且其中记录的 PID 进程仍在运行
if [ -f "$LOCK_FILE" ]; then
    OLD_PID=$(cat "$LOCK_FILE")
    if kill -0 "$OLD_PID" 2>/dev/null; then
        echo "脚本已在运行（PID: $OLD_PID），本次跳过。"
        exit 0
    fi
fi

# 将当前进程 PID 写入锁文件
echo $$ > "$LOCK_FILE"

# 注册 EXIT trap：无论脚本正常结束还是异常退出，都清理锁文件
trap 'rm -f "$LOCK_FILE"' EXIT

echo "获取锁成功（PID: $$），开始执行任务..."
# === 脚本核心逻辑从此开始 ===

# ┌────────────────── 分钟 (0-59)
# │  ┌─────────────── 小时 (0-23)
# │  │  ┌──────────── 日   (1-31)
# │  │  │  ┌───────── 月   (1-12)
# │  │  │  │  ┌────── 星期 (0-6, 0=周日, 也可写 Sun/Mon/Tue...)
# │  │  │  │  │
# *  *  *  *  *  /path/to/command

# 特殊符号：
#   *    = 每个可能的值（任意）
#   ,    = 枚举多个值，如 1,3,5
#   -    = 连续范围，如 1-5（周一到周五）
#   /    = 步长间隔，如 */10（每 10 分钟）
#   @reboot = 系统重启后执行一次（非标准但广泛支持）

# ⚠️  重要：cron 中必须使用绝对路径，不能用 ~/ 或相对路径
# ⚠️  推荐将所有脚本输出重定向到日志，便于排查问题

# 每天凌晨 3:00 执行系统更新（输出追加到日志）
0 3 * * * /usr/local/bin/auto-update.sh >> /var/log/auto-update.log 2>&1

# 每天 4:15 执行网站备份（错峰，避免与系统更新冲突）
15 4 * * * /usr/local/bin/website-backup.sh >> /var/log/backup.log 2>&1

# 每 10 分钟检查服务健康状态
*/10 * * * * /usr/local/bin/service-health.sh >> /var/log/service-health.log 2>&1

# 每天 5:00 检查 SSL 证书有效期
0 5 * * * /usr/local/bin/ssl-renew.sh >> /var/log/ssl-renew.log 2>&1

# 每 5 分钟更新 DDNS（动态 IP 场景）
*/5 * * * * /usr/local/bin/cf-ddns.sh

# 每小时检查磁盘容量
0 * * * * /usr/local/bin/disk-monitor.sh

# 系统重启后立即执行一次初始化检查
@reboot /usr/local/bin/service-health.sh

# 文件路径：/etc/systemd/system/website-backup.service
# 定义"做什么"：执行备份脚本
[Unit]
Description=Website Daily Backup
# 依赖网络（若备份需要上传到远程存储）
After=network-online.target
Wants=network-online.target

[Service]
Type=oneshot             # 一次性任务（非长驻进程）
User=root
ExecStart=/usr/local/bin/website-backup.sh
# 标准输出和错误输出都写入 systemd journal，用 journalctl 查看
StandardOutput=journal
StandardError=journal
# 脚本失败时的重试策略
Restart=on-failure
RestartSec=60s
# 资源限制：防止备份时占用过多 CPU
CPUQuota=50%

# 文件路径：/etc/systemd/system/website-backup.timer
# 定义"什么时候做"：每天凌晨 3:15 执行
[Unit]
Description=Run Website Backup Daily at 3:15 AM

[Timer]
# OnCalendar 支持完整日历语法，比 Cron 更直观
OnCalendar=*-*-* 03:15:00    # 每天 3:15
# OnCalendar=Mon *-*-* 02:00  # 每周一 2:00
# OnCalendar=*-*-1 00:00      # 每月 1 日

# Persistent=true：若上次计划时间错过（机器关机），开机后立即补充执行一次
Persistent=true

# 随机延迟 0-300 秒，避免多台服务器同时执行造成资源争抢
RandomizedDelaySec=300

[Install]
WantedBy=timers.target

# ── 启用并立即启动定时器 ──────────────────────────────────────────────────────
# systemctl daemon-reload
# systemctl enable --now website-backup.timer
# systemctl list-timers --all    # 查看所有定时器的下次执行时间
# journalctl -u website-backup   # 查看执行日志

# 文件路径：/etc/logrotate.d/myapp
# 功能：统一管理应用产生的多个日志文件，防止日志占满磁盘

# 可以同时指定多个日志路径（支持通配符）
/var/log/backup.log
/var/log/service-health.log
/var/log/ssl-renew.log
/var/log/cf-ddns.log
{
    daily              # 每天轮转一次（可选：weekly/monthly/yearly）
    rotate 30          # 保留最近 30 份归档（超出则删除最旧的）
    compress           # 使用 gzip 压缩归档文件（.log.1.gz）
    delaycompress      # 本次轮转的文件下次才压缩（当前 .log.1 不压缩，方便实时查看）
    missingok          # 若日志文件不存在，不报错直接跳过
    notifempty         # 若日志为空，不执行轮转（避免产生 0 字节的归档）
    dateext            # 归档文件名追加日期（backup.log-20260316.gz），避免数字后缀混乱
    create 0640 root adm  # 轮转后创建新日志，权限 640，属主 root，属组 adm

    # postrotate 钩子：轮转后通知应用重新打开日志文件句柄
    # 对于使用长驻进程的应用（如 Nginx），不发信号则新日志仍写入旧文件
    postrotate
        # 发送 USR1 信号让 Nginx 重新打开日志文件
        [ -f /run/nginx.pid ] && kill -USR1 $(cat /run/nginx.pid) || true
    endscript
}

#!/bin/bash
# 企业微信 Webhook 消息推送函数（封装为可复用的 Shell 函数库）
# 用法：source /usr/local/lib/notify.sh，然后调用 notify_wecom "消息内容"

WECOM_WEBHOOK="https://qyapi.weixin.qq.com/cgi-bin/webhook/send?key=YOUR_WECOM_KEY"

notify_wecom() {
    local message="$1"
    curl -sf -X POST "$WECOM_WEBHOOK"          -H 'Content-Type: application/json'          --data-binary "{
           "msgtype": "markdown",
           "markdown": {
             "content": "**[VPS 自动化通知]**\n>主机：$(hostname)\n>时间：$(date '+%Y-%m-%d %H:%M:%S')\n>\n>${message}"
           }
         }" > /dev/null && echo "企业微信通知已发送" || echo "通知发送失败"
}

# 使用示例：
# notify_wecom "✅ 网站备份完成，大小：234 MB"
# notify_wecom "⛔ 磁盘空间告急：/ 分区使用率 96%，请立即处理"

#!/bin/bash
# Telegram Bot 消息推送函数
# 前置条件：
#   1. 与 @BotFather 对话，创建 Bot，获取 BOT_TOKEN
#   2. 与您的 Bot 发一条消息，然后访问：
#      https://api.telegram.org/bot<TOKEN>/getUpdates
#      从返回 JSON 中找到 chat.id

TG_BOT_TOKEN="123456789:ABCdefGHIjklMNOpqrSTUvwxYZ"
TG_CHAT_ID="your_chat_id_here"       # 个人 chat_id 或群组 chat_id

notify_telegram() {
    local message="$1"
    # parse_mode=Markdown 支持加粗、代码块等格式
    curl -sf -X POST "https://api.telegram.org/bot${TG_BOT_TOKEN}/sendMessage"          --data-urlencode "chat_id=${TG_CHAT_ID}"          --data-urlencode "parse_mode=Markdown"          --data-urlencode "text=*[VPS 通知]* `$(hostname)`
时间：$(date '+%Y-%m-%d %H:%M:%S')
───
${message}" > /dev/null && echo "Telegram 通知已发送" || echo "通知发送失败"
}

# 使用示例：
# notify_telegram "✅ SSL 证书续期成功，新过期时间：2026-09-16"

# 文件路径：~/playbooks/inventory.ini
# 定义您的服务器分组

[web_servers]
web1 ansible_host=1.2.3.4  ansible_user=ubuntu ansible_port=39217
web2 ansible_host=5.6.7.8  ansible_user=ubuntu ansible_port=39217

[db_servers]
db1  ansible_host=9.10.11.12 ansible_user=debian ansible_port=22

[all:vars]
# 所有主机共用的变量
ansible_ssh_private_key_file=~/.ssh/id_ed25519

# ── 执行 Playbook ──────────────────────────────────────────────────────────────
# ansible-playbook -i inventory.ini update-all.yml
# 
# 先用 --check 做"预演"（dry-run），看看会做什么改动但不实际执行：
# ansible-playbook -i inventory.ini update-all.yml --check
#
# 只对某个分组执行：
# ansible-playbook -i inventory.ini update-all.yml --limit web_servers

# 文件路径：~/playbooks/update-all.yml
# 功能：批量在所有 VPS 上执行系统更新
# 前置：pip install ansible && ssh-copy-id user@server1 user@server2
# (Playbook 文件以 --- 开头，这是 YAML 标准格式)

- name: 批量系统更新
  hosts: all        # 应用到 inventory 文件中的所有主机
  become: true      # 等同于 sudo，以 root 权限执行

  tasks:
    - name: 更新软件包索引
      apt:
        update_cache: true
        cache_valid_time: 3600   # 若缓存不超过 1 小时则不重新拉取

    - name: 升级所有软件包
      apt:
        upgrade: dist            # dist-upgrade：处理依赖变更（比 safe 更彻底）
        autoremove: true
        autoclean: true

    - name: 检查是否需要重启（内核更新后）
      stat:
        path: /var/run/reboot-required
      register: reboot_required

    - name: 输出重启提示
      debug:
        msg: "主机 {{ inventory_hostname }} 需要重启（内核已更新）"
      when: reboot_required.stat.exists