쉘 스크립트에서 SUID를 안전하게 얻는 가장 쉬운 방법

/nix/storeOCI 컨테이너가 마치 쓰기 가능한 것처럼 마운트된 읽기 전용 디렉터리에 액세스할 수 있도록 오버레이를 설치해야 하는 스크립트가 있습니다 .

루트/휠이 아닌 사용자가 이 스크립트를 실행하도록 하고 싶습니다. 가장 쉬운 방법은 무엇입니까? 처음에 나는 순진하게 사용해 보았지만 SUID이것이 작동하지 않는다는 것을 깨달았습니다. 이로 인해 쉘 스크립트의 위험성에 대한 많은 SUID답변과 기사가 생겼습니다. 그 중 하나는 왜 그것을 일부 C 프로그램으로 래핑했는지 설명했지만 안전을 해결할 수 없습니다. 깨끗하지 않은 환경 문제.

이러한 취약점을 처리하기 위해 스크립트를 래핑할 수 있는 간단한 래퍼/유틸리티가 있습니까?

사용자 환경에서는 docker 컨테이너에 방금 전달된 ENV만 필요하지만 루트 사용자는 bash 세션에서 동일한 ENV 변수를 갖게 되므로 제안이 모든 사용자 환경을 무시하고 대신 루트 1을 사용하여 작동한다면, 내 사용 사례에는 괜찮습니다.

local temp_dir=$(mktemp -d)

mkdir -p {$temp_dir/store,$temp_dir/upper-store,$temp_dir/work-store}

# Create Overlay
sudo mount -t overlay overlay \
  -o lowerdir=/nix/store,upperdir=$temp_dir/upper-store,workdir=$temp_dir/work-store $temp_dir/store

# Do some sutff with the mounted overlay

sudo umount $temp_dir/store
rm -rf $temp_dir