MIT Missing Semester 2026 第二课：命令行环境#

参数由程序解释#

执行：

1
ls -l folder/

Shell 会找到并启动 ls，向它传递类似下面的参数：

1
argv[0] = ls
2
argv[1] = -l
3
argv[2] = folder/

Shell 负责分词和展开，ls 自己决定 -l 和 folder/ 的含义。同一个 -a 在不同程序中可以代表不同功能。

Shell 脚本中常见的特殊参数包括：

转发脚本参数时通常应写：

1
some_command "$@"

选项是一种生态约定#

常见形式：

• -a：单字母短选项；
• --all：长选项；
• -la：组合若干不带值的短选项；
• -n 5、--color=auto：选项携带值；
• --help、--version、--verbose：常见但并非强制支持。

ls -la 与 ls -al 对独立开关通常等价，但不能推导出所有程序的选项顺序都无关。某些程序会按顺序处理设置，后面的选项可能覆盖前面的选项。

1
argv[0] = ls
2
argv[1] = -lah
3
argv[2] = --color=auto
4
argv[3] = /home

1
ls -l "My Documents"

1
touch -- -myfile
2
rm -- -myfile

1
rm ./-myfile

glob 由 Shell 提前展开#

1
rm *.py

若当前目录有 main.py 和 utils.py，Shell 通常先展开为：

1
rm main.py utils.py

rm 一般看不到原始的 *.py。常见模式：

1
touch folder/{a,b,c}.py
2
convert image.{png,jpg}
3
cp /project/{setup,build,deploy}.sh /newpath/
4
mv *{.py,.sh} folder/

glob 与正则表达式是两种不同的模式语言。递归 ** 是否可用取决于 Shell 和配置；Bash 通常需要启用 globstar：

1
shopt -s globstar
2
printf '%s\n' **/*.py

涉及删除时，应先用无副作用命令检查 glob 的展开结果。

管道具有流式和并发性质#

1
cat myfile | grep -P '\d+' | uniq -c

Shell 会建立管道并启动各阶段，而不是等前一个程序完全结束才启动下一个。上游可以一边产生数据，下游一边消费数据。

默认情况下，| 只把前一个命令的 stdout 连接到后一个命令的 stdin：

1
command A stdout ──> command B stdin
2
command A stderr ──> 终端或原有目的地

三个标准流#

1
echo "hello" > output.txt
2
echo "world" >> output.txt
3
ls missing 2> errors.txt
4
ls missing &> all-output.txt
5
grep "pattern" < input.txt
6
command > /dev/null 2>&1

重定向按从左到右处理：

1
command >all.log 2>&1

先将 stdout 指向文件，再让 stderr 复制 stdout 当前的目标，所以两者都进入文件。相反：

1
command 2>&1 >all.log

stderr 先复制原 stdout，之后只有 stdout 被改到文件。

许多工具把 - 约定为 stdin：

1
echo "hello" | grep "hello" -

该行为由具体程序定义，并非 Shell 强制。

ls | fzf 的完整数据流#

1
当前目录
2
  │
3
  ├─ ls 把若干行候选文本写到 stdout
4
  │
5
  └─ 管道把这些字节送入 fzf 的 stdin
6
       │
7
       ├─ 输入查询词，fzf 对候选行进行模糊排序和过滤
8
       ├─ 方向键移动选择，Backspace 修改查询
9
       ├─ Esc 或 Ctrl-C 取消
10
       └─ Enter 确认后，只把选中行写到 stdout

模糊匹配通常只要求查询字符保持顺序，不要求相邻。例如 hwt 可以匹配 homework.txt 中依次出现的 h、w、t。具体评分仍由 fzf 的实现决定。

fzf 接收的是文本行，不是特殊的“文件对象”：

在 cat ~/.bash_history | fzf 中，~ 先由 Shell 展开，cat 再把历史文件逐行写入管道。按 Enter 只输出所选文本，不会自动执行。若要继续处理，应显式接收：

1
selected=$(cat ~/.bash_history | fzf)
2
printf 'chosen: %s\n' "$selected"

生产者、交互筛选器和后续消费者各负一责，正是 Unix 工具组合的基本方式。对不可信选择结果直接使用 eval 会把普通文本变成代码，应避免。

赋值、读取和引号#

1
foo=bar
2
echo "$foo"
3
echo '$foo'

• foo=bar 是赋值；
• foo = bar 会被解析为运行名为 foo 的命令；
• 单引号保持字面值；
• 双引号允许变量与命令替换，同时抑制词拆分和文件名展开；
• 变量展开通常应加双引号。

命令替换#

1
files=$(ls)
2
printf '%s\n' "$files"

$(command) 捕获命令的 stdout，并把它作为字符串参与当前命令。Bash 会删除命令替换结果末尾的换行符，因此它不适合无损保存任意字节或文件名列表。

进程替换#

1
diff <(ls src) <(ls docs)

<(command) 提供一个可读取的文件名；读取该文件即可获得命令的 stdout。Bash 通常通过 FIFO 或 /dev/fd/N 实现，不保证创建磁盘临时文件。

三种形式的差别：

1
A | B      A 的 stdout 连接到 B 的 stdin
2
$(A)       A 的 stdout 变成字符串
3
<(A)       A 的 stdout 通过一个文件名式接口提供

diff 需要两个独立文件名，因此进程替换很合适：

1
diff <(sort file1.txt) <(sort file2.txt)

反向形式 >(command) 把写入文件式通道的数据交给命令的 stdin。进程替换是 Bash、zsh 等 Shell 的扩展，不属于严格 POSIX sh。

1
diff <(ls src) <(ls docs)

1
printf '%s\n' "$(ls src)"  # 一个字符串参数
2
diff <(ls src) <(ls docs)   # 两个文件名式参数

1
diff -r src docs

Shell 变量与环境变量#

1
name=Alice
2
bash -c 'echo "$name"'     # 子 Bash 通常看不到
3

4
export name
5
bash -c 'echo "$name"'     # 输出 Alice

普通 Shell 变量只存在于当前 Shell；带 export 属性的变量会复制给未来的子进程：

1
父进程环境 ──复制──> 新子进程环境

子进程不能通过普通 export 反向修改父进程，已经运行的其他程序也不会自动获得新值。

只为单次命令设置环境：

1
TZ=Asia/Tokyo date
2
DEBUG=1 python app.py
3
LANG=C sort names.txt

持久导出：

1
export DEBUG=1

查看和删除：

1
printenv
2
printenv HOME
3
unset DEBUG

DEBUG= 表示变量存在但为空，unset DEBUG 表示变量不存在；程序可能区分两者。

1
DEBUG=1
2
bash -c 'printf "%s\n" "$DEBUG"'

1
TZ=Asia/Tokyo date

PATH 是有顺序的搜索目录列表#

1
printf '%s\n' "$PATH" | tr ':' '\n'
2
command -v python

Shell 按顺序寻找第一个符合条件的命令。追加和前置有不同优先级：

1
export PATH="$PATH:$HOME/mybin"   # 优先级较低
2
export PATH="$HOME/mybin:$PATH"   # 优先级较高

加入的是包含可执行文件的目录，而不是文件本身。优先使用绝对路径或 $HOME 派生路径，避免相对条目在 cd 后指向不同位置。

直接修改只影响当前 Shell 及其未来子进程。持久化通常写入相应启动文件，例如交互式 Bash 常使用 ~/.bashrc，zsh 常使用 ~/.zshrc。Bash 实际读取哪个文件取决于 login/interactive 等启动模式。

1
source ~/.bashrc
2
hash -r

source 在当前 Shell 中重读配置；hash -r 清除 Bash 的命令位置缓存。

1
mkdir -p "$HOME/mybin"
2
printf '#!/usr/bin/env bash\nprintf "hello\\n"\n' > "$HOME/mybin/hello"
3
chmod +x "$HOME/mybin/hello"

1
export PATH="$PATH:$HOME/mybin"
2
command -v hello
3
hello

1
PATH=/usr/local/bin:/usr/bin:/home/user/mybin
2
       先查这里      再查这里  最后查这里

1
printf '%s\n' "$PATH" | tr ':' '\n'
2
command -v hello
3
type -a hello
4
hash -r

常见信号#

终端驱动通常把特殊控制键转换为信号，并发送给终端的前台进程组。信号不是经 stdin 传入的普通文本。

多数信号允许进程使用默认动作、忽略或安装自定义处理器。SIGKILL 与 SIGSTOP 不能被捕获、阻塞或忽略。正常结束进程时应先尝试 SIGTERM，让程序完成清理；确实无响应时才考虑 SIGKILL。

kill 的准确含义是发送信号：

1
kill -TERM "$pid"
2
kill -INT "$pid"
3
kill -0 "$pid"

kill -0 不发送实际信号，而以返回码报告当前调用者能否向目标 PID 发信号。PID 复用和权限会限制它作为长期身份检查的可靠性。

自定义信号处理#

1
import signal
2
import time
3

4
def handler(signum, frame):
5
    print("\nreceived SIGINT; continuing")
6

7
signal.signal(signal.SIGINT, handler)
8

9
i = 0
10
while True:
11
    time.sleep(0.1)
12
    print(f"\r{i}", end="", flush=True)
13
    i += 1

这里是捕获 SIGINT 后执行处理器，不是完全忽略。完全忽略可使用 signal.SIG_IGN。若程序没有改变 SIGQUIT 的处理方式，Ctrl-\ 仍可能触发默认终止动作。

1
键盘 Ctrl-C
2
  → 终端驱动识别特殊控制字符
3
  → 向前台进程组发送 SIGINT
4
  → 内核查看每个进程对 SIGINT 的处置
5
  → 执行默认动作、忽略，或调用自定义处理器

进程、作业、前台和后台#

• 进程：操作系统正在运行的程序，以 PID 标识；
• 作业：当前 Shell 管理的一条命令或一组管道，以作业号标识；
• 前台：占用当前终端的前台进程组，可读取终端输入；
• 后台：Shell 不等待其结束，提示符可继续接收命令。

1
sleep 1000
2
sleep 1000 &

& 只表示异步执行，不保证进程脱离 Shell 或控制终端。后台程序仍可能向终端写输出；若尝试读取终端输入，通常会受到 SIGTTIN 并暂停。

暂停、继续和终止#

1
前台运行 --Ctrl-Z/SIGTSTP--> 暂停
2
暂停 --fg %1--> 前台继续
3
暂停 --bg %1--> 后台继续

1
jobs
2
jobs -l
3
fg %1
4
bg %1
5
kill %1

%1 是当前 Shell 的作业号，PID 是操作系统标识。另一个终端里的 jobs 通常看不到本 Shell 的作业。

$! 表示最近一个异步管道的 PID，通常是该管道最后一个命令：

1
long_command &
2
pid=$!
3
wait "$pid"

1
sleep 1000
2
# 按 Ctrl-Z
3
jobs -l
4
bg %1
5
jobs -l
6
fg %1
7
# 按 Ctrl-C

nohup、disown 与持久任务#

1
nohup python train.py >train.log 2>&1 &

• nohup 使命令忽略 SIGHUP；
• & 让 Shell 不等待；
• 显式重定向把输出保存到日志。

已经启动的 Bash 作业可使用：

1
disown %1

将其从当前 Shell 作业表移除。关闭终端后进程是否存活还取决于 Shell、会话、控制终端和程序的信号处理。需要保留完整交互界面时适合使用 tmux；需要重启策略、开机启动和正式服务管理时适合 systemd 等服务管理器。

普通后台任务与 nohup 任务可以这样比较：

1
sleep 1000 &
2
normal_pid=$!
3
nohup sleep 1000 >nohup.log 2>&1 &
4
nohup_pid=$!
5
jobs -l
6
kill -HUP "$normal_pid" "$nohup_pid"
7
jobs -l
8
kill "$nohup_pid"

默认情况下，普通 sleep 因 SIGHUP 结束，nohup 任务忽略该信号；最后不带选项的 kill 发送 SIGTERM，仍可结束它。nohup 不提供恢复交互界面的能力。没有显式重定向时，常见实现可能写入 nohup.out，但指定日志路径更清楚。

disown %1 修改当前 Shell 的作业管理关系；Bash 的 disown -h %1 通常保留记录但标记不向该作业发送 SIGHUP。两者都不是系统级守护进程管理器。孤儿进程也不是 SIGKILL 特有现象，只要父进程先结束而子进程继续运行就可能出现。

trap 与退出清理#

1
#!/usr/bin/env bash
2

3
tmpdir=$(mktemp -d)
4

5
cleanup() {
6
    rm -rf -- "$tmpdir"
7
}
8

9
trap cleanup EXIT
10
trap 'exit 130' INT
11
trap 'exit 143' TERM

EXIT 是 Bash 的退出事件，不是操作系统信号。若只对 INT/TERM 安装 cleanup，默认终止动作会被替换，处理器返回后脚本不一定自动退出。把信号转换为 exit，再由唯一的 EXIT trap 清理，可降低重复清理风险。

该控制流为：SIGINT → INT trap 执行 exit 130 → Shell 开始退出 → EXIT trap 执行一次 cleanup。SIGTERM 对应 exit 143；130=128+2、143=128+15 是常见的信号退出码约定。让信号 trap 只决定退出、EXIT trap 统一清理，可以避免同一清理函数在 INT/TERM 与 EXIT 上重复运行。

清理函数只能作用于脚本自己创建并验证过的精确路径。

交互登录与远程执行#

1
ssh alice@server.example

SSH 也可以非交互执行命令：

1
ssh alice@server.example ls | wc -l
2
ssh alice@server.example 'ls | wc -l'

第一条通常在远端运行 ls、在本地运行 wc -l；第二条把整个管道作为远程命令，因此两端都在远端执行。

本地 Shell、SSH 客户端和远端 Shell 可能依次解释引号、变量和特殊字符。编写远程命令时必须明确希望由哪一层展开。

Mosh 可改善网络切换、设备休眠和高延迟链路中的交互体验，但需要服务器支持和额外网络配置，也不能无条件替代 SSH 的全部能力。

两种不同的认证#

SSH 连接包含两个不同问题：

1. 客户端验证服务器身份：确认连接的不是冒充主机。已知主机信息通常记录在 ~/.ssh/known_hosts。
2. 服务器验证用户身份：确认客户端有权登录某个账户，可使用密码、公钥等方式。

首次连接显示新主机指纹时，应通过可信渠道核对。主机密钥意外变化可能来自服务器重装，也可能表示中间人风险。

公钥认证与密钥口令#

1
ssh-keygen -a 100 -t ed25519 -f ~/.ssh/id_ed25519

通常生成：

1
~/.ssh/id_ed25519       私钥，不得分享
2
~/.ssh/id_ed25519.pub   公钥，可部署到服务器

• -t ed25519 指定密钥类型；
• -f 指定私钥文件；
• -a 100 设置保存私钥时的 KDF 轮数，提高离线猜测私钥口令的成本。

私钥口令保护本地私钥文件，不等于远程账户密码。可用代理缓存解锁后的密钥：

1
eval "$(ssh-agent -s)"
2
ssh-add ~/.ssh/id_ed25519

1
ssh-keygen -y -f ~/.ssh/id_ed25519

会从私钥读取并向 stdout 输出对应公钥。添加或修改私钥口令使用：

1
ssh-keygen -p -f ~/.ssh/id_ed25519

authorized_keys#

远端账户的：

1
~/.ssh/authorized_keys

通常每行授权一个公钥尝试登录该账户。不同远端用户有各自的授权文件。

优先使用：

1
ssh-copy-id -i ~/.ssh/id_ed25519.pub alice@server.example

手工安装的完整数据流可写成：

1
cat ~/.ssh/id_ed25519.pub |
2
ssh alice@server.example \
3
  'umask 077; mkdir -p ~/.ssh; cat >> ~/.ssh/authorized_keys'

左侧 ~ 属于本地用户，远程引号中的 ~ 属于远端账户。首次部署公钥仍需要账户密码、既有密钥或管理员协助。

1
客户端 ──验证主机密钥──> 这真的是目标服务器吗？
2
服务器 ──验证用户签名──> 这个客户端有权登录该账户吗？

scp 与 rsync#

1
scp report.pdf alice@server.example:~/
2
scp alice@server.example:~/report.pdf .
3
scp -r project alice@server.example:~/

scp 适合直接复制。反复同步目录更适合：

1
rsync -avP project/ alice@server.example:~/project/

• -a：归档模式，递归并尽量保留属性；
• -v：详细输出；
• -P：显示进度并保留未完成部分。

源路径末尾的 / 会改变语义：

1
project     复制目录本身
2
project/    复制目录内容

判断 scp 方向可以看冒号在哪一侧：

1
scp local.txt lab:~/      # 本地源 → 远端目标，上传
2
scp lab:~/remote.txt .    # 远端源 → 本地目标，下载
3
scp -r project lab:~/     # 递归上传目录

rsync 重复同步时会比较状态，只传输需要更新的数据；scp 更接近一次直接复制。-P 提供进度和保留未完成部分，但不自动解决冲突。权限、所有者和符号链接能否完整保留，还受两端平台与账户权限影响。

使用可能删除目标文件的 --delete 前，应先预演：

1
rsync -avP --delete --dry-run project/ server.example:~/project/

SSH 客户端配置和端口转发#

1
Host lab
2
    HostName 192.0.2.10
3
    User alice
4
    Port 22
5
    IdentityFile ~/.ssh/id_ed25519
6
    LocalForward 9999 localhost:8888
7

8
Host *.example.edu
9
    User alice
10

11
Host *
12
    ServerAliveInterval 60

配置后可统一使用别名：

1
ssh lab
2
scp report.pdf lab:~/
3
rsync -avP project/ lab:~/project/

Host lab 是本地别名；HostName 是实际地址，User 是默认远端账户，Port 是服务端口，IdentityFile 应指向客户端私钥而不是 .pub 文件。通配块可为一组主机提供设置，Host * 提供全局默认值；通常把更具体的块写在通用块之前更容易理解。同一配置会被 ssh、scp 和基于 SSH 的 rsync 复用。

LocalForward 9999 localhost:8888 让本地端口 9999 通过 SSH 连接到远端视角下的 localhost:8888。

只建立转发、不执行远程命令并进入后台：

1
ssh -N -f -L 9999:localhost:8888 lab

• -N：不执行远程命令；
• -f：认证后转入后台；
• -L：本地端口转发。

禁用 SSH 密码认证和 root 登录前，必须先在另一连接中验证密钥登录，并保留可恢复的管理通道。服务名称和重启命令因发行版而异。

对象层级#

1
tmux server
2
└── session
3
    ├── window
4
    │   ├── pane
5
    │   └── pane
6
    └── window
7
        └── pane

• session：可分离的工作区；
• window：类似标签页；
• pane：窗口中的矩形终端区域。

<C-b> x 表示先按 Ctrl-b 并松开，再按 x。默认 Ctrl-b 是 tmux 的前缀键。

会话#

1
tmux
2
tmux new -s study
3
tmux ls
4
tmux attach -t study
5
tmux kill-session -t study

会话内按 <C-b> d 只分离客户端，程序继续在 tmux 服务器中运行。服务器重启、tmux server 结束或会话被删除后，会话不会继续存在。

窗口#

窗格#

“水平拆分”和“垂直拆分”的叫法存在歧义，直接记上下与左右结果更可靠。

copy-mode 的选择键取决于 mode-keys 与用户配置。vi 风格可设置：

1
set -g mode-keys vi

常见流程是进入 copy-mode、移动、用 Space 开始选择、Enter 复制、<C-b> ] 粘贴，但应以实际配置为准。

1
tmux new -s project

长期任务方案对比#

常见配置文件#

文件名前导点是 Unix 生态隐藏配置文件的约定。Bash 读取哪个启动文件取决于 login/interactive 状态，不应把同一配置盲目复制到所有文件。

包管理器、现代工具和帮助系统#

常见包管理器包括 Ubuntu/Debian 的 apt、Fedora 的 dnf、Arch 的 pacman 和 macOS 的 Homebrew。讲义介绍 rg 作为现代文本搜索工具，fd 作为更易用的文件查找工具。tldr 提供以示例为主的简化帮助，但复杂边界仍应查阅 man page 和官方文档。

下面的安装形式会立即执行网络响应：

1
curl -fsSL "$INSTALL_URL" | bash

更易审查的流程：

1
curl -fsSL "$INSTALL_URL" -o install.sh
2
less install.sh
3
bash install.sh

即使明确使用 /bin/bash -c，也不能消除供应链、内容变化和来源可信度风险。

alias、函数和历史搜索#

1
alias ll='ls -lh'
2
alias gs='git status'
3
alias dc='cd'
4
alias mv='mv -i'
5
alias la='ls -A'
6
alias lla='la -l'

1
alias ll
2
unalias la
3
\ls

alias 适合固定文本替换。需要参数与控制流时应使用函数：

1
mkcd() {
2
    mkdir -p -- "$1" && cd -- "$1"
3
}

大多数 Bash/Readline 环境可用 Ctrl-R 反向搜索历史。安装 fzf Shell 集成后，可以获得交互式模糊历史搜索。

用版本控制管理 dotfiles#

推荐把配置存入单独仓库，再通过符号链接安装到实际位置：

1
dotfiles/bashrc     --symlink--> ~/.bashrc
2
dotfiles/tmux.conf  --symlink--> ~/.tmux.conf

可靠的安装脚本应：

• 检测目标是否已有真实文件；
• 对原配置做可恢复备份；
• 保持幂等，重复运行不破坏状态；
• 在全新环境测试；
• 不提交私钥、令牌和主机特定秘密。

大型 Shell 框架提供插件管理和默认配置，但会增加启动成本与隐式行为。语法高亮、自动建议、补全、历史搜索和 prompt 主题可以按需单独安装；fish 则默认集成许多交互功能。

组合 ls 选项#

列出隐藏项、使用长格式和易读大小、按最近修改时间排序并启用自动颜色：

1
ls -lath --color=auto

GNU ls 中，-l 表示长格式，-a 包含隐藏项，-t 按修改时间排序，-h 使用易读大小。颜色选项具有实现差异。

比较环境与导出声明#

1
diff <(printenv | sort) <(export | sort)

printenv 输出环境条目；Bash export 无参数时输出 Shell 可重用的导出声明，因此格式和集合可能不同。

在当前 Shell 定义状态恢复函数#

1
marco() {
2
    MARCO_DIR=$PWD
3
}
4

5
polo() {
6
    cd -- "$MARCO_DIR"
7
}

把函数写入文件后要用 source 加载，因为子进程不能改变父 Shell 的工作目录或变量。

重复运行直到失败#

1
#!/usr/bin/env bash
2

3
count=0
4
: >stdout.log
5
: >stderr.log
6

7
while true; do
8
    count=$((count + 1))
9
    if ./rare-failure.sh >stdout.log 2>stderr.log; then
10
        continue
11
    fi
12

13
    status=$?
14
    printf 'failed after %d runs, status=%d\n' "$count" "$status"
15
    printf '%s\n' '--- stdout ---'
16
    cat stdout.log
17
    printf '%s\n' '--- stderr ---'
18
    cat stderr.log
19
    break
20
done

每轮覆盖日志只保留失败一轮；若需全部记录，应单独命名或追加并写入分隔信息。

等待后台进程#

1
sleep 60 &
2
pid=$!
3
wait "$pid"
4
ls

wait 只等待当前 Shell 的子进程。对其他会话的 PID，可在受控练习中轮询：

1
pidwait() {
2
    local pid=$1
3
    while kill -0 "$pid" 2>/dev/null; do
4
        sleep 1
5
    done
6
}

这种实现受 PID 复用和权限影响，不适合替代正式进程管理。

查找并结束特定练习进程时，可以先检查匹配范围：

1
pgrep -af 'sleep 10000'
2
pkill -f 'sleep 10000'

-f 按完整命令行匹配，可能一次命中多个进程。应先核对 pgrep -af 输出；能够在启动时保存 $! 时，使用精确 PID 更可靠。

按修改时间列出文件#

GNU 工具可使用：

1
find . -type f -printf '%T@ %p\0' |
2
    sort -z -nr |
3
    tr '\0' '\n'

它按最近修改到最早修改排序。机器处理时应保持 NUL 分隔，以免含换行的文件名产生歧义。

分析高频历史命令#

1
history |
2
    awk '{$1=""; print substr($0, 2)}' |
3
    sort |
4
    uniq -c |
5
    sort -n |
6
    tail -n 10

结果可用于识别适合创建 alias 的高频固定命令。Bash 与 zsh 的 history 输出格式不同。

建立可复现的 dotfiles 流程#

一个完整的最小流程包括：

1
mkdir -p "$HOME/dotfiles"
2
cd "$HOME/dotfiles"
3
git init

随后逐项完成：

1. 创建简单 alias，例如 alias dc='cd'；
2. 至少配置一个程序，例如通过 PS1 调整 Bash prompt；
3. 把配置文件纳入版本控制；
4. 编写保守、幂等的 ln -s 安装脚本；
5. 在全新虚拟机中测试安装；
6. 逐步迁移其余工具配置；
7. 扫描并移除密钥、令牌和主机特定秘密；
8. 确认提交内容后再发布到 GitHub。

建立最小 tmux 闭环#

1
tmux new -s practice
2
# 在会话中创建 window、拆分 pane、运行命令
3
# 按 Ctrl-b，再按 d
4
tmux ls
5
tmux attach -t practice

可在 ~/.tmux.conf 中加入一项明确配置：

1
set -g mouse on

并重载：

1
tmux source-file ~/.tmux.conf

建立 SSH 密钥与端口转发#

1
ssh-keygen -a 100 -t ed25519 -f ~/.ssh/id_ed25519
2
ssh-copy-id -i ~/.ssh/id_ed25519.pub lab
3
ssh -N -f -L 9999:localhost:8888 lab

若远端在端口 8888 运行服务，本地端口 9999 可通过 SSH 隧道访问。更改 SSH 服务端认证策略前，应先验证密钥连接并保留恢复通道。

一套端到端验证可在远端启动临时服务器：

1
python3 -m http.server 8888

客户端配置 LocalForward 9999 localhost:8888 后，从本地端口 9999 验证隧道。密钥登录确认成功后，才可考虑在服务端配置中设置：

1
PasswordAuthentication no
2
PermitRootLogin no

修改前应保留现有管理连接，修改后先验证配置语法，再按发行版实际服务名重启 SSH 服务。还可以安装 Mosh，测试网络临时中断后的恢复能力。

dotfiles 发布前检查#

1
git status
2
git diff --cached
3
rg -n 'PRIVATE KEY|token|password|secret' .

配置仓库应逐项迁移、用符号链接安装、在全新环境测试，并在发布前扫描秘密。SSH 私钥、API token 和主机特定凭据不得进入公共仓库。