From 33a5464ba70a1e01df2f273feb3ea97a2a8ad19f Mon Sep 17 00:00:00 2001
From: Davidasx <81460770+Davidasx@users.noreply.github.com>
Date: Tue, 4 Aug 2026 14:11:54 +0800
Subject: [PATCH] =?UTF-8?q?fix(rotate-secret):=20=E4=BF=AE=E5=A4=8D=20tr/h?=
 =?UTF-8?q?ead=20=E7=AE=A1=E9=81=93=20SIGPIPE=20=E5=AF=BC=E8=87=B4?=
 =?UTF-8?q?=E8=84=9A=E6=9C=AC=E9=9D=99=E9=BB=98=E9=80=80=E5=87=BA?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

`tr -dc 'A-Za-z0-9' </dev/urandom | head -c "$LENGTH"` 中，head 读满
指定字节后即关闭管道退出，而 tr 面对 /dev/urandom 的无限流仍在继续写入，
因而被 SIGPIPE 终止，退出码 141。脚本开头设置了 set -o pipefail，整条管道
的退出码取自失败的 tr，再叠加 set -e，脚本便在第一条 echo 之前就终止。

表现为运行 `bash scripts/rotate-secret.sh` 没有任何输出直接退出，
退出码 141，secret 也不会被更新。

改为先用 head 从 /dev/urandom 读取有限字节再交给 tr 过滤，使 tr 的输入
自然结束、不再写入已关闭的管道；外层循环累积直到满足长度要求，以补偿
过滤非字母数字字符造成的损耗。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
---
 scripts/rotate-secret.sh | 10 ++++++++--
 1 file changed, 8 insertions(+), 2 deletions(-)

diff --git a/scripts/rotate-secret.sh b/scripts/rotate-secret.sh
index 327f4cc..3e0884f 100644
--- a/scripts/rotate-secret.sh
+++ b/scripts/rotate-secret.sh
@@ -43,8 +43,14 @@ if [[ "$LENGTH" -lt 16 ]]; then
     exit 1
 fi
 
-# 生成 URL-safe 随机字符串：从 base64 中过滤出 [A-Za-z0-9]
-RAND_RAW="$(LC_ALL=C tr -dc 'A-Za-z0-9' </dev/urandom | head -c "$LENGTH")"
+# 生成 URL-safe 随机字符串：过滤出 [A-Za-z0-9]
+# 注意：先用 head 从 /dev/urandom 取有限字节再喂给 tr，避免 tr 写入已关闭的管道被
+# SIGPIPE 杀掉（退出码 141），在 set -o pipefail 下会导致脚本静默退出。
+RAND_RAW=""
+while [[ ${#RAND_RAW} -lt "$LENGTH" ]]; do
+    RAND_RAW+="$(head -c 256 /dev/urandom | LC_ALL=C tr -dc 'A-Za-z0-9')"
+done
+RAND_RAW="${RAND_RAW:0:LENGTH}"
 PATH_VALUE="/${RAND_RAW}"
 
 echo "[rotate-secret] 已生成新密码，长度 ${#PATH_VALUE} 位（含 /）"