Quiz : Bash pour l'automatisation

b. La ligne #! n'est lue que par le noyau, quand on exécute le fichier lui-même (./script ou son chemin). sh script demande explicitement à /bin/sh, c'est-à-dire Dash sur Debian et Ubuntu, de lire le fichier. Un bashisme peut alors échouer, ou pire, s'exécuter de travers avec un code 0. Lancez le script par son chemin, et vérifiez la portabilité avec shellcheck -s dash si un script doit tourner sous sh. Leçon 1.

/srv/donnees est monté avec l'option noexec : le noyau refuse d'exécuter tout fichier de ce système de fichiers, quel que soit son droit x. C'est voulu pour un volume de données. On installe les scripts dans /opt/signalements/bin/ (ou /usr/local/bin), avec install -o root -g root -m 0755, qui crée un nouveau fichier au lieu de réécrire celui qu'un processus est peut-être en train de lire. Leçon 1.

b. Le résultat d'une expansion non protégée passe par le découpage en mots selon IFS (espace, tabulation, saut de ligne), puis par l'expansion des chemins. rm tente de supprimer quatre fichiers qui n'existent peut-être pas, ou, s'ils existent, des fichiers sans rapport. Écrire rm -f -- "$f" : les guillemets doubles empêchent découpage et expansion des chemins, -- protège contre un nom qui commencerait par un tiret. ShellCheck signale l'oubli (SC2086). Leçon 2.

Trois (<a><b><c>), deux (<a b><c>) et un (<a b c>). "$@" transmet les arguments intacts, un mot par argument : c'est presque toujours la forme voulue. "$*" les joint en une seule chaîne (avec le premier caractère d'IFS). Sans guillemets, $@ et $* redécoupent tout. Leçon 2.

c. Un nombre qui commence par 0 est lu en octal, et 9 n'est pas un chiffre octal. Hors mode POSIX, une erreur d'expansion arithmétique ne termine pas un script : Bash abandonne la commande en cours et continue, et set -e ne l'intercepte pas. Le récapitulatif part alors vers un chemin comme 2026//. Il faut forcer la base 10 : $(( 10#$mois - 1 )), et valider toute valeur avant de calculer avec. Leçons 3 et 9.

Si la variable est absente ou vide (faute de frappe, fichier de configuration non lu), la seconde forme devient rm -rf -- /archives, un chemin à la racine. ${VAR:?} arrête le script avec un message dès que la variable est vide ou absente, avant que rm ne soit lancé. C'est la protection minimale devant toute commande destructrice qui compose un chemin. Leçon 3.

Le test est vrai. [ est une commande : la variable vide non citée disparaît, [ ne reçoit plus que -n et ], soit un test à un seul argument, « la chaîne -n est-elle non vide ? », toujours vrai. Le dépôt part avec une destination vide. Écrire [ -n "$destination" ], ou [[ -n $destination ]] : [[ ]] est un mot-clé du shell, qui ne découpe pas les variables. Leçon 4.

b. Les parties citées du membre droit de =~ correspondent littéralement (SC2076). On place l'expression dans une variable, utilisée sans guillemets : motif='^[0-9]{4}-[0-9]{2}-[0-9]{2}$' puis [[ $date_export =~ $motif ]]. La forme ne suffit pas : 2026-02-30 passe le motif, d'où la vérification complémentaire par date -d. Leçon 4.

Chaque élément d'un tube s'exécute dans un sous-shell : la boucle incrémente une copie de n, perdue à la fin du tube. On garde la boucle dans le shell courant avec une substitution de processus : while IFS= read -r ligne; do ...; done < <(grep 'python3\[' "$journal"), ou avec shopt -s lastpipe dans un script. Pour compter, grep -c ou un awk suffiraient d'ailleurs. Leçon 5.

Une fois, avec f égal au motif lui-même, /srv/donnees/exports/*.csv : un motif sans correspondance reste littéral. traiter reçoit donc un nom de fichier qui n'existe pas. Parades : shopt -s nullglob (le motif disparaît, zéro tour), ou [[ -e $f ]] || continue en tête de boucle. Leçon 5.

Le code de sortie de la ligne est celui de la commande interne local, qui réussit toujours ; l'échec de compter_lignes est masqué, y compris pour set -e (SC2155). On déclare d'abord, on affecte ensuite : local nb puis nb=$(compter_lignes "$csv"). Même règle pour export, readonly et declare. Leçons 6 et 9.

b. Les variables de Bash sont globales par défaut, et une fonction voit et modifie celles de son appelant. Ici la seconde machine n'est jamais déployée, sans aucun message. Déclarez local toutes les variables d'une fonction, compteurs de boucle compris. Même avec local, la portée de Bash est dynamique : une fonction voit aussi les variables locales des fonctions qui l'ont appelée. Leçon 6.

Dans A, $options non cité est redécoupé selon les espaces et soumis à l'expansion des chemins : une valeur qui contient une espace ou un * casse la commande, et citer "$options" donnerait un seul argument. Dans B, chaque élément du tableau reste un argument, quelles que soient les valeurs, et l'on peut ajouter des options conditionnelles avec +=. C'est l'alternative propre à eval, qui relirait les données comme du code. Leçon 7.

Un tableau associatif est une table de hachage : l'ordre de "${!compte[@]}" n'est pas garanti. On trie (sort) ou l'on garde l'ordre dans un tableau indexé à côté. Quant à (( x++ )), il vaut l'ancienne valeur : au premier comptage, elle vaut 0, donc le code de sortie est 1, et set -e arrête le script. Écrire compte[$h]=$(( ${compte[$h]:-0} + 1 )) ou (( ++compte[$h] )). Leçons 7 et 9.

b. getopts ne connaît que les options courtes de POSIX. Selon la façon dont la boucle traite le ?, le script signale une option inconnue ou continue avec une date absurde. C'est pourquoi le cours retient, pour un outil d'équipe, une boucle while (( $# > 0 )); do case $1 in ... esac; shift; done, qui gère --date valeur, --date=valeur, -d valeur et --, puis valide chaque valeur. Leçon 8.

source exécute le fichier avec les droits du script : une ligne comme DESTINATION=$(commande) ou PATH=/tmp serait appliquée, et une faute de syntaxe ferait échouer le script. Lu comme une donnée (IFS='=' read -r cle valeur), le fichier ne fournit que des valeurs littérales, pour une liste blanche de clés ; une clé inconnue produit un avertissement avec le numéro de ligne, ce qui attrape aussi les fautes de frappe. Leçon 8.

set -e est suspendu dans tout contexte de condition : test d'un if ou d'un while, membres non finaux de && et ||, commande précédée de !. Ce contexte est contagieux : une fonction appelée dans un if s'exécute entièrement sans errexit. Ici verifier renvoie le code de echo, 0, et le script affiche aussi « vérifié ». Une fonction doit vérifier ses propres étapes (false || return) au lieu de compter sur set -e. Leçon 9.

head se termine après la première ligne. Si gzip a encore des données à écrire (archive plus grosse que le tampon du tube), il reçoit SIGPIPE et meurt avec 128 + 13 = 141. Avec pipefail, cet échec devient celui du tube, et selon la taille de l'export du jour, le script s'arrête ou non. Corrections : lire sans tube (IFS= read -r entete < <(gzip -dc -- "$archive")) après un gzip -t, ou accepter 141 pour l'écrivain seul. Leçon 9.

Entre guillemets doubles, $rep_travail est développé au moment du trap : si la variable est encore vide, le piège ne supprimera rien ; si elle change ensuite, le piège visera l'ancienne valeur (SC2064). Entre apostrophes, l'expansion a lieu quand le piège s'exécute. La variable doit en outre être globale : une variable local de main a disparu quand le piège s'exécute après une fin normale. Leçon 10.

Bash diffère le piège jusqu'à la fin de la commande au premier plan : il s'exécute après le dépôt, ou jamais si systemd envoie SIGKILL avant (90 secondes par défaut). On lance la commande en arrière-plan et on l'attend : aws s3 cp ... & enfant=$!; wait "$enfant". wait est interrompu par le signal, le piège s'exécute aussitôt, arrête l'enfant par son PID, nettoie, puis se renvoie le signal (trap - TERM EXIT; kill -s TERM "$$") pour que l'appelant voie 143. Leçon 10.

b. Un test « existe, sinon créer » laisse une fenêtre entre le test et la création, où deux exécutions passent ; et un fichier laissé par un processus tué bloque toutes les suivantes. Avec exec {fd}>>"$verrou"; flock -n "$fd" || mourir -c "$EX_VERROU" ..., l'échec donne le code 5. Le verrou suit la description de fichier ouverte : un enfant détaché en hérite et le garderait, d'où {fd}>&- pour ne pas le lui transmettre. Leçon 10.

wait sans argument attend toutes les tâches et renvoie toujours 0. On range chaque PID aussitôt après le & (pids[$h]=$!), puis on attend chaque PID : code=0; wait "${pids[$h]}" || code=$?, et l'on compte les échecs. wait -n sert à attendre qu'une place se libère dans une réserve de tâches bornée, pas à recueillir les codes : en Bash 5.2, une tâche déjà notifiée (tuée par un signal, par exemple) peut lui échapper. Leçon 11.

ssh lit son entrée standard pour la transmettre à la commande distante : il consomme le reste de hotes.txt, et read ne trouve plus rien au tour suivant. Corrections : ssh -n (ou < /dev/null) pour fermer l'entrée de ssh, ou lire la liste sur un autre descripteur (while read -r -u 3 hote; do ...; done 3< hotes.txt). Dans un script, ajoutez aussi -o BatchMode=yes et un délai de connexion. Leçons 5 et 11.

run capture le code et la sortie de la commande dans $status et $output, et réussit toujours : un test qui s'arrête après run ne vérifie rien. On ajoute les assertions, sur le code et sur le message : run -3 publier-export -d 2026-10-07 (avec bats_require_minimum_version 1.5.0), puis [[ $output == *vide* ]] ou assert_output --partial vide avec bats-assert. Pour s'assurer qu'un test peut échouer, on casse exprès le contrôle dans le script et l'on vérifie qu'il devient rouge (test de mutation). Leçon 12.