如何使用Ruby提示输入sudo密码？

Question

我经常发现自己需要编写一些脚本，这些脚本必须以普通用户身份执行某些部分，而以超级用户身份执行其他部分。我知道在SO上有一个类似的问题，答案是两次运行相同的脚本并以sudo的身份执行，但这对我来说还不够。有时，在执行sudo操作后，我需要恢复为普通用户身份。

我已经在Ruby中编写了以下代码来做到这一点

#!/usr/bin/ruby
require 'rubygems'
require 'highline/import'
require 'pty'
require 'expect'

def sudorun(command, password)
  `sudo -k`
  PTY.spawn("sleep 1; sudo -u root #{command} 2>&1") { | stdin, stdout, pid |
  begin
    stdin.expect(/password/) {
    stdout.write("#{password}\n")
    puts stdin.read.lstrip
                              }
  rescue Errno::EIO
  end
 }
end

不幸的是，如果用户输入了错误的密码，则使用该代码会使脚本崩溃。理想情况下，它应该使用户3尝试正确获取sudo密码。我该如何解决？

我在Linux Ubuntu BTW上运行它。

Answer 1

我认为，运行在内部使用sudo进行填充的脚本是错误的。更好的方法是让用户使用sudo运行整个脚本，并让脚本分叉较弱特权的子级来执行操作：

# Drops privileges to that of the specified user
def drop_priv user
  Process.initgroups(user.username, user.gid)
  Process::Sys.setegid(user.gid)
  Process::Sys.setgid(user.gid)
  Process::Sys.setuid(user.uid)
end

# Execute the provided block in a child process as the specified user
# The parent blocks until the child finishes.
def do_as_user user
  unless pid = fork
    drop_priv(user)
    yield if block_given?
    exit! 0 # prevent remainder of script from running in the child process
  end
  puts "Child running as PID #{pid} with reduced privs"
  Process.wait(pid)
end

at_exit { puts 'Script finished.' }

User = Struct.new(:username, :uid, :gid)
user = User.new('nobody', 65534, 65534)

do_as_user(user) do
  sleep 1 # do something more useful here
  exit! 2 # optionally provide an exit code
end

puts "Child exited with status #{$?.exitstatus}"
puts 'Running stuff as root'
sleep 1

do_as_user(user) do
  puts 'Doing stuff as a user'
  sleep 1
end

此示例脚本具有两个帮助程序方法。#drop_priv接受一个定义了用户名，uid和gid的对象，并 适当
减少执行进程的权限。#do_as_user方法在屈服提供的块之前，在子进程中调用#drop_priv。注意使用#exit！以防止子代在块外运行脚本的任何部分，同时避免使用at_exit挂钩。

通常会忽略以下安全问题：

• 打开文件描述符的继承
• 环境变量过滤
• 在chroot中运行子项？

根据脚本的功能，可能需要解决所有这些问题。#drop_priv是处理所有这些问题的理想场所。