需求是在关机或者重启之前，可以自定义执行命令。

https://opensource.com/life/16/11/running-commands-shutdown-linux

1） 使用systemd 方式

在 /lib/systemd/system-shutdown/目录下，存放自定义的脚本。

systemd-halt.service

通过 ssh 的 登陆日志

cat auth.log | grep Accepted

if [ ! -f '/root/lastuser.log' ];then
touch /root/lastuser.log
fi
mount -oremount,rw /

LOGIN_IP=who am i | awk '{print $NF}' | sed -e 's/[()]//g'
echo "====================================================" >> /root/lastuser.log
echo "whoami" >> /root/lastuser.log
echo "who -m" >> /root/lastuser.log
echo "who am i" >> /root/lastuser.log
echo "who am i | awk '{print $NF}'" >> /root/lastuser.log
echo " whoami date $LOGIN_IP " >> /root/lastuser.log
mount -oremount,ro /

whoami="$(whoami)@$(echo $SSH_CONNECTION | awk '{print $1}')"
export PROMPT_COMMAND='RETRN_VAL=$?;logger -p local3.debug "$whoami [$$]: $(history 1 | sed "s/^[ ][0-9]+[ ]//" ) [$RETRN_VAL]"'

Additionally you can add the line below to your syslog configuration ( /etc/syslog.conf ) to redirect the local3 messages to a specific file.

local3.* /var/log/prompt.log

今天查看了一个系统初始化的 Shell 脚本，其中有一段命令是配置记录 bash 命令日志的，如下：

LOGIN_IP=$(who am i | awk '{print $NF}')
export PROMPT_COMMAND='{ msg=$(history 1 | { read x y; echo $y; });echo $(date +"%Y-%m-%d %H:%M:%S") [$(whoami)@$SSH_USER$LOGIN_IP pwd ]" $msg" >> /var/log/.history; }'
其中的 PROMPT_COMMAND 是 bash 的环境变量，这个变量的中内容是作为一个普通的 bash 命令执行的，而且执行时间是在 bash 显示 prompt 之前。 这个好理解，就是说每执行一个命令前，PROMPT_COMMAND 里面先执行，然后是 prompt。

但里面的 msg=$(history 1 | { read x y; echo $y; }); 让我迷惑了，现在我来把它拆解，

先来理解 history 1 命令，它的输出总是 $COMMAND_Number history 1， 也就是理解成它的输出总是最后一次执行的命令?
bash 会最先记录下这个命令：history 1 | { read x y; echo $y; }？ 接着 history 1 加管道处理后就变成它本身，而不带 $COMMAND_Number，于是输出就是命令它本身：history 1 | { read x y; echo $y; }？
于是msg=$(history 1 | { read x y; echo $y; });，$msg 变量总是表示当前执行的命令？

上面是我的理解，结果是明显的，就是 $msg 变量保存的是 bash 最后执行的命令。 但还是觉得讲不明白，history 1 和管道结合还是感觉没太理解。
如果那个高手看到了，麻烦指点下到底怎么理解它。

https://www.jianshu.com/p/0749ddc6b760

https://blog.csdn.net/bwlab/article/details/51321308