어떻습니까: sudo를 사용하고 환경, 특히 $SUDO_USER를 설정하지 마십시오.

Question 1

도구가 요구 사항을 충족하지 않는 경우 래퍼 스크립트를 사용하여 도구를 개선할 수 있습니다. 나는 이 스크립트를 사용합니다(noenv) 빌드 환경을 깨끗하게 유지합니다. 다음과 같이 사용하세요

sudo -u powerlessuser noenv /bin/processCmd

당신이 요구하는 것을 할 것입니다. (스크립트는 정규화된 경로에 있어야 합니다. 그렇지 않으면 명령에 해당 경로를 제공해야 합니다.)

스크립트:

#!/bin/sh
# $Id: noenv,v 1.3 2014/05/10 22:43:32 tom Exp $
# trim the environment to minimal (PATH may still be long...)
env | sed -e 's/=.*//' -e '/^[  ].*/d' | \
while true
do
    read value
    if test -z "$value" ; then
        # honor assignments to variables in the parameter list
        while test $# != 0
        do
            case "x$1" in
            *=*)
                eval $1
                name=`echo "$1"|sed -e 's/=.*//'`
                export $name
                shift 1
                ;;
            *)
                break
                ;;
            esac
        done
        exec "$@"
        break
    fi
    case "$value" in
    HOME|PATH|USER|_|SHLVL|TMPDIR|LOGNAME)
        ;;
    *\ *|*\(*|*\)*|*\!*)
        #echo "...skipping $value"
        ;;
    *)
        #echo value:"$value"
        unset "$value"
        ;;
    esac
done

/usr/bin/env명확히 하기 위해, 제가 만들고 있는 일부 시스템에는 문제가 없기 때문에 언급된 POSIX 기능을 사용하여 이 글을 작성하지 않았습니다 : options -i. 이들은 다음을 포함하는 오래된 BSD 시스템입니다.썬 OS 4그리고HPUX 10(FreeBSD의 "env" 매뉴얼 페이지와 비교하여 내 메모리를 확인합니다.)

그런데 이 스크립트는 여러 줄의 값을 제거합니다(그러나 이는 발생할 가능성이 있는 유일한 값이며 TERMCAP매우 오래된 시스템에서만 가능합니다). 두 번째 sed 표현식은 tabsum 이 포함된 범위 여야 합니다 space.

POSIX(더 관심이 있을 수 있음)의 경우 함수를 사용하여 상위 환경에서 선택한 값을 전달하는 작업을 수행할 수 있습니다. 예를 들어 다음과 같습니다.

env -i foo="bar"

따라서 둘 다 사용자 정의할 수 있습니다. 변수가 많으면 다루기 힘들 수 있으므로 스크립트를 사용하는 것이 더 좋습니다.

sudoTERMCAP어쨌든 그것을 거부하십시오. 이는 환경에서 이러한 변수를 제거하는 데 도움이 되는 변수의 (긴) 목록입니다.

sudo특정 변수 설정을 고집합니다. 소스 코드 읽기plugins/sudoers/env.c, 끝 부분에 다음 블록이 표시됩니다 rebuild_env.

/* Add the SUDO_USER, SUDO_UID, SUDO_GID environment variables. */
CHECK_SETENV2("SUDO_USER", user_name, true, true);
snprintf(idbuf, sizeof(idbuf), "%u", (unsigned int) user_uid);
CHECK_SETENV2("SUDO_UID", idbuf, true, true);
snprintf(idbuf, sizeof(idbuf), "%u", (unsigned int) user_gid);
CHECK_SETENV2("SUDO_GID", idbuf, true, true);

debug_return_bool(true);

즉, 함수가 성공적으로 반환되기 직전에 자체적으로 설정합니다.변하기 쉬운, 자신의 것을 사용하십시오가치.

Answer