初识 Shell

第一次打开终端，最容易产生的误会是：眼前这个黑色窗口就是 Linux，输入的文字会被系统直接执行。其实中间至少隔着几层。终端负责收发字符，Shell 负责理解命令，具体程序完成工作，内核再为这些程序提供进程、文件和设备等能力。

把这几层分清之后，很多现象就不再神秘：为什么 cd 找不到独立的可执行文件，为什么错误消息没有跟着普通输出进入文件，为什么上一条命令明明没有文字输出，$? 却能告诉我们它是否成功。本篇以 Bash 演示交互过程，但会同时指出哪些是通用约定，哪些只是 Bash 的行为。

终端不是 Shell，Shell 也不是内核

终端模拟器是字符界面。它接收键盘输入，把字符交给前台程序，再把程序返回的字符、颜色控制码和光标移动指令显示出来。图形桌面里的 Terminal、Konsole 一类窗口属于终端模拟器；文字控制台和远程 SSH 会话也能提供类似的字符通道，只是入口不同。

Shell是运行在这个通道中的命令语言解释器。它读取一行输入，识别命令结构，完成必要的展开和重定向，然后执行内建能力或启动外部程序。Bash、Dash、Zsh、Fish 都属于 Shell，它们共享许多基础概念，语法和默认配置却不完全相同。

内核位于更底层。Shell 与普通命令都运行在用户空间；当它们要创建进程、打开文件或访问终端设备时，会通过系统调用请求内核服务。Shell 因此是用户空间程序，不是内核的一部分，更不是拥有无限权限的“系统本体”。

可以把一次交互看成这样一条路径：

键盘 → 终端模拟器 → Shell → 内建命令或外部程序 → 内核
屏幕 ← 终端模拟器 ← 标准输出 / 标准错误 ←──────┘

图：同一条命令经过终端、Shell 与程序层，最终才会请求内核能力。

从提示符看线索，不拿线索当权限证明

Shell 准备接收输入时会显示提示符。常见形式会放入用户名、主机名和当前目录：

learner@lab:~/work$
root@lab:/etc#

这里的 learner 或 root 看起来像用户名，lab 像主机名，冒号后是当前目录。末尾的 $ 常用于普通用户，# 常用于特权用户。技术文档也常用 $ command 表示“由普通用户执行”，用 # command 表示“这条命令需要管理权限”；复制命令时不要把前面的提示符一起输入。

不过，提示符只是 Shell 输出的一段可配置文本。用户完全可以把普通账号的提示符改成 #，也可以隐藏用户名。因此它只能提醒风险，不能证明权限。真正要确认身份时，运行：

whoami
id -u

在本篇的隔离环境中，输出是：

nobody
65534

whoami 根据当前进程的有效用户 ID 输出用户名，id -u 直接输出数值 ID。传统权限模型中，root 的用户 ID 是 0；普通用户通常是其他数值。进程访问文件、信号和其他资源时，内核检查的是进程凭据与目标权限，不是提示符长什么样。

root 仍是用户空间身份，并没有变成内核态程序。它的危险在于权限检查很少替执行者阻止错误：普通用户删除不了的系统文件，root 可能直接删掉。日常学习保持普通身份，只有明确知道哪一步需要管理权限时，才把权限提升限定在那一步。

图：提示符可以提供身份线索，但权限确认必须回到有效用户 ID。

读懂一条命令的基本结构

最常见的简单命令可以先按这个模型阅读：

命令名  [选项]  [操作对象或其他参数……]

例如：

date -u +%Y-%m-%dT%H:%M:%SZ

这行里，date 是命令名，-u 要求使用 UTC，+%Y-%m-%dT%H:%M:%SZ 是输出格式参数。隔离环境中的一次真实输出为：

2026-07-15T06:46:29Z

“选项以短横线开头”是常见的程序接口约定，不是 Shell 强制规定的语法。Shell 的主要工作是把词分开并保留引用关系；真正决定 -u 有什么含义的是 date 程序。不同命令可能接受短选项 -u、长选项 --utc、二者组合，或者完全不同的参数风格，遇到不确定的写法要查该命令自己的帮助。

空格通常分隔参数。如果一个参数本身含空格，需要引用：

printf '课程名称：%s\n' 'Linux 命令行基础'

Shell 会去掉用于分组的引号，再把两个实际参数交给 printf：第一个是格式字符串，第二个是完整的课程名称。输出为：

课程名称：Linux 命令行基础

许多命令支持 -- 表示“选项到此结束”。当文件名恰好以 - 开头时，command -- -filename 可以避免程序把文件名误认成选项。不过这仍是各程序遵守的接口约定，使用前应查看帮助。

图：Shell 先形成参数列表，命令再解释每个选项和操作对象。

回车之后，Shell 怎样处理命令

按下回车后，并不是把整行字符串原封不动地交给内核。以 Bash 的简单命令为例，可以用下面这条执行链理解：

1. 读取输入：输入可能来自终端、脚本文件或 -c 参数。
2. 识别词和运算符：Shell 区分普通词、引号、管道、重定向和命令分隔符。
3. 分析语法：它判断这是一条简单命令、管道、列表还是其他结构；语法不完整时，交互式 Shell 可能显示续行提示符等待补全。
4. 执行展开：变量、命令替换和文件名通配等会在这一阶段形成真正的参数。引用可以限制某些展开与分词。
5. 设置重定向：Shell 先把标准流接到终端、文件或管道的目标端。
6. 解析命令名并执行：内建命令可由当前 Shell 直接运行；外部程序通常在子进程中装入执行。常见模型是 Shell 创建子进程，再由子进程执行目标程序。
7. 收集结果：对于前台命令，Shell 通常等待它结束，取得退出状态，再显示下一次提示符。

文件名展开能直观看到“Shell 先处理，程序后执行”。在只含若干 .txt 文件的目录中运行：

touch alpha.txt beta.txt
set -x
printf 'arg=<%s>\n' *.txt
set +x

跟踪信息会显示类似：

+ printf 'arg=<%s>\n' alpha.txt beta.txt
arg=<alpha.txt>
arg=<beta.txt>

printf 收到的已经是展开后的文件名列表。它没有自己扫描目录；完成 *.txt 匹配的是 Shell。理解这一点后，也就能明白为什么引用 "*.txt" 会阻止这次文件名展开。

图：解析、展开和重定向都发生在目标程序真正运行之前。

内建命令与外部程序并不是二选一的名称世界

有些命令由 Shell 自身实现，称为内建命令。cd 是典型例子：工作目录属于进程状态。如果另起一个外部进程执行 cd，改变的只能是子进程自己的目录，子进程一结束，父 Shell 仍停在原处。由当前 Shell 直接执行内建 cd，后续命令才能看到新目录。

另一些命令是文件系统里的外部程序，例如 Debian 环境中的 /usr/bin/date 和 /usr/bin/whoami。Shell 按 PATH 列出的目录顺序寻找可执行文件；同名文件出现多次时，前面的目录通常先匹配。Bash 还会缓存部分查找结果来减少重复搜索。

一个名称甚至可能同时有内建和外部版本。用 type -a 查看 Bash 能找到的所有候选：

type -a cd printf pwd date whoami

隔离环境返回的关键部分是：

cd is a shell builtin
printf is a shell builtin
printf is /usr/bin/printf
pwd is a shell builtin
pwd is /usr/bin/pwd
date is /usr/bin/date
whoami is /usr/bin/whoami

再用 command -v 看当前名称会解析成什么：

command -v cd
command -v date

输出为：

cd
/usr/bin/date

Bash 处理一个普通命令名时，还可能遇到别名、函数和关键字。只用 which 查外部路径容易遗漏这些 Shell 层能力；排查“为什么执行的不是预期程序”时，优先使用 type 与 command -v，再检查 PATH。如果命令名含 /，例如 ./tool，Shell 会把它当路径使用，不再按普通名称搜索 PATH。

图：同一个名称可能对应内建能力，也可能在 PATH 中存在外部程序。

退出状态是命令之间的判断信号

命令结束时会留下一个数值状态，父 Shell 用它判断结果。惯例是 0 表示成功，非 0 表示没有按预期完成。状态与屏幕文字是两条不同的通道：命令可以不输出任何文字但返回失败，也可以输出很多内容后返回成功。

Bash 把最近一条命令的状态放在特殊参数 $? 中：

true
printf 'true -> %s\n' "$?"
false
printf 'false -> %s\n' "$?"

输出是：

true -> 0
false -> 1

$? 必须立刻读取，或者先保存：

some_command
status=$?
printf '状态：%s\n' "$status"

为什么要先保存？因为 printf 本身也是下一条命令，它完成后会覆盖 $?。连续运行两次 printf '%s\n' "$?"，第二次看到的通常是第一次 printf 的状态，而不是最初目标命令的状态。

Shell 自己还有两个常见约定：找不到命令返回 127，找到路径但无法把它作为可执行程序运行返回 126。隔离环境中的结果是：

not-found -> 127; stderr=bash: definitely_not_a_welearn_command: command not found
not-executable -> 126; stderr=bash: ./noexec.sh: Permission denied

非零也不总等于“程序坏了”。例如一些查找或比较工具会用 1 表示“没有匹配”或“内容不同”，这可能是正常业务结果。正确做法是查看该命令帮助中的 EXIT STATUS、EXIT VALUE 或 DIAGNOSTICS，再决定怎样处理。Shell 的 && 和 || 也正是利用状态决定是否继续执行右侧命令。

图：输出内容供人或下游程序读取，退出状态供 Shell 判断下一步。

标准流让命令可以被重新接线

程序启动时通常已经打开三条标准数据流：

交互时，它们常连接终端，所以看起来都在同一个窗口里。实际上，父进程可以把每条流分别接到文件、设备或管道。> 重定向标准输出并覆盖目标，>> 追加标准输出，2> 单独重定向标准错误，< 则让标准输入来自文件。

下面的生产者写一条正常结果、一条诊断信息，并返回状态 7：

bash -c "printf '普通结果\n'; printf '诊断信息\n' >&2; exit 7" \
  >stdout.txt 2>stderr.txt
status=$?

读取两个文件得到：

stdout.txt: 普通结果
stderr.txt: 诊断信息
status: 7

这是因为 > 只改写文件描述符 1 的去向，2> 只改写文件描述符 2。退出状态 7 又是独立的控制信息，所以不会被两个文件的内容改变。

管道 | 默认只把左侧命令的标准输出连接到右侧命令的标准输入：

printf '来自标准输入\n' |
  bash -c 'IFS= read -r line; printf "读取到：%s\n" "$line"'

右侧得到：

读取到：来自标准输入

如果左侧同时写 stderr，诊断默认仍去终端，不会自动进入管道。这种分离很有价值：正常数据可以继续交给下游处理，错误仍能被人看到。需要合并时常见写法是 2>&1，它表示让文件描述符 2 指向文件描述符 1 当时的去向；重定向顺序会影响结果，不能把符号随意换位。

图：0、1、2 三个文件描述符可以分别连接终端、文件或管道。

错误消息不是噪声，先拆成三部分读

看到错误时，先别急着重复执行同一条命令。大多数命令行诊断都能按三个问题拆开：

1. 谁报告的？ 可能是 Shell，也可能是已经启动的程序。
2. 哪个对象有问题？ 常见对象是命令名、路径、选项或输入值。
3. 为什么失败？ 例如不存在、权限不足、语法错误或参数无效。

比较两条消息：

bash: definitely_not_a_welearn_command: command not found
ls: cannot access '/tmp/welearn-ch01/missing': No such file or directory

第一条由 Bash 报告。Shell 在解析命令名阶段就没有找到要运行的目标，所以外部程序根本没有启动。第二条由 ls 报告，说明 Shell 已经成功找到并启动 ls，但 ls 打开指定路径时发现对象不存在。这两个问题都“没有结果”，排查位置却完全不同。

Permission denied 也不等于“文件不存在”。它说明对象可能存在，但当前进程凭据和权限不允许所请求的操作。先检查路径拼写、对象类型和权限，不要把“直接提升为 root”当成默认修复；权限边界往往正在阻止一个不合理的访问。

一条操作触发很多后续错误时，优先处理最早出现的根因。后面的失败可能只是依赖前一步结果而产生。把 stderr 与 stdout 分开保存，或者先记录退出状态，能避免大量正常输出淹没真正的诊断。

图：从报告者、问题对象和原因三处定位故障发生在哪一层。

先问当前环境，再决定去哪里找帮助

命令行帮助不是单一入口。效率较高的顺序是先确认“这个名称到底是什么”，再查对应类型的文档。

1. type -a name：判断名称是关键字、别名、函数、内建命令还是外部程序，并查看同名候选。
2. help builtin：查询 Bash 内建命令。例如 help type 会显示 type 的语法和说明。
3. command --help：许多 GNU 外部程序提供简要用法。例如 date --help 会列出格式与选项。
4. man name：阅读参考手册。手册常按章节组织，man 1 passwd 指用户命令，man 5 passwd 指配置文件格式。
5. man -k keyword 或 apropos keyword：只知道目标功能、不知道命令名时，按关键词搜索手册摘要。
6. info command 与 /usr/share/doc：部分 GNU 工具和发行版软件包在这里提供更长说明或示例。

隔离环境中，help type 的开头是：

type: type [-afptP] name [name ...]
    Display information about command type.

而 date --help 的开头是：

Usage: date [OPTION]... [+FORMAT]
Display date and time in the given FORMAT.

区别来自命令类型：type 是 Bash 自己实现的，所以问 Bash；date 是外部程序，所以让 date 解释自己的接口。精简容器可能没有预装 man 数据库，这不表示命令没有文档，只表示当前环境缺少相应文档包。

手册页更像精确参考，不一定按初学顺序展开。阅读时优先找 SYNOPSIS、DESCRIPTION、OPTIONS、EXAMPLES、EXIT STATUS 和 SEE ALSO。如果错误与系统调用或配置文件有关，章节号能帮助你避开同名条目。

图：先判断命令类型，再选择内建帮助、程序帮助或系统手册。

历史与行编辑让修改比重输更可靠

交互式 Bash 通常通过 Readline 提供行编辑。方向键可以移动光标和翻阅历史，但掌握几组常见按键，在长命令中更省力：

这些是 Bash 默认 Emacs 编辑模式下的常见绑定。用户配置、Vi 编辑模式、终端快捷键或其他 Shell 都可能改变行为，所以遇到不同结果应检查当前 Shell 与 Readline 配置，不要把键位当成所有环境的硬规则。

history 显示当前会话的历史列表。历史保存多少条、是否写入文件、哪些命令被忽略，受 HISTSIZE、HISTFILESIZE、HISTFILE、HISTCONTROL 等配置影响。因此“Shell 固定记住 500 条”并不成立。会话中的新命令何时写入历史文件，也会受退出方式和 histappend 等设置影响。

历史能减少重复输入，也可能保存敏感参数。不要把密码、令牌或私钥直接写在命令行参数里；“稍后清理历史”不能撤回已经被进程列表、审计日志或其他工具看到的内容。更安全的做法是使用专用凭据输入、受控环境变量或权限受限的配置方式。

还要区分两个常被混淆的按键：Ctrl-C 通常向前台任务发送中断信号；Ctrl-D 在终端输入处表示 EOF，只有程序如何处理 EOF 才决定它是否退出。

图：行首、行尾、按词删除和反向搜索覆盖了最常用的命令修改动作。

正确退出是结束当前 Shell，不是关闭系统

exit 是 Shell 内建命令，它结束当前 Shell 执行环境。如果这是终端启动的最外层 Shell，终端标签页可能随会话一起关闭；如果它只是一个嵌套子 Shell，那么退出后会回到父 Shell。

下面的实验让子 Shell 以 23 退出：

bash --noprofile --norc -c 'exit 23'
status=$?
printf 'child-shell-exit -> %s; parent-continues=yes\n' "$status"

输出为：

child-shell-exit -> 23; parent-continues=yes

父 Shell 还能执行 printf，说明 exit 23 没有关闭系统，只把子 Shell 的退出状态交给了父进程。不带参数的 exit 通常沿用最近命令的状态；编写脚本时显式选择状态更清楚。

在交互式 Shell 的空命令行按 Ctrl-D，终端驱动会提交 EOF。Shell 收到输入结束后通常退出，但这与 Ctrl-C 中断前台任务是两种机制。显式输入 exit 更容易表达意图，也能避免误把 EOF 当成“强制关闭”。

直接关闭终端窗口可能让关联的前台进程收到挂断或终止信号，后台任务是否继续则取决于作业控制、终端和程序的处理方式。先结束不再需要的前台程序，再用 exit 离开会话，行为更可预期。

用一次完整的隔离练习串起全篇

下面的练习把 Shell 识别、身份、命令类型、基础命令、退出状态和标准流放在同一个一次性 Debian 环境中。容器以 UID 65534 运行，移除所有 capability，禁用网络，根文件系统只读；唯一可写区域是内存中的 /tmp。脚本还会显式删除 /tmp/welearn-ch01，容器退出后再由 --rm 删除容器层。

docker run --rm \
  --name welearn-linux-ch01-lab \
  --user 65534:65534 \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  --network none \
  --read-only \
  --tmpfs /tmp:rw,nosuid,nodev,size=16m \
  debian:bookworm-slim \
  bash --noprofile --norc -lc '
set -u
work=/tmp/welearn-ch01
mkdir -p "$work"
trap '\''rm -rf "$work"'\'

一次实际运行得到的关键输出如下，时间会随执行时刻变化：

Bash=5.2.15(1)-release
/bin/sh=/usr/bin/dash
用户=nobody
目录=/tmp/welearn-ch01
时间=2026-07-15T06:46:29Z
cd is a shell builtin
printf is a shell builtin
date is /usr/bin/date
whoami is /usr/bin/whoami
date 路径=/usr/bin/date
true=0, false=1
stdout=普通结果
stderr=诊断信息
producer=7

这组结果可以逐项解释：课程明确启动的是 Bash，但 /bin/sh 指向 Dash，所以不能把二者混为一谈；nobody 与 UID 65534 对应非特权身份；cd 和 printf 有内建实现，date 与 whoami 从 PATH 找到外部程序；true 与 false 用状态表达真假；最后一条子命令把正常结果和诊断分别写入文件，同时独立返回 7。

如果某一步输出不同，不要先把它当成错误。先用 type、command -v、whoami 和帮助系统确认环境差异，再检查退出状态与 stderr。Shell 学习真正要建立的能力，就是从这些可观察证据判断命令在哪一层、以什么身份、通过哪条数据通道完成了什么。