检查脚本用户是否具有 root 权限的最佳方法是什么？

Question

我有一个 Python 脚本，它将执行许多需要根级权限的操作，例如移动 /etc 中的文件、使用 apt-get 安装等。我目前有：

if os.geteuid() != 0:
    exit("You need to have root privileges to run this script.\nPlease try again, this time using 'sudo'. Exiting.")

这是进行检查的最佳方式吗？还有其他最佳实践吗？

Answer 1

os.geteuid 获取有效的用户id，这正是你想要的，所以我想不出任何更好的方法来执行这样的检查。不确定的一点是标题中的“类似 root”：您的代码完全 root 检查它，没有“类似”，事实上我不会知道“类似根但不是根”是什么意思 - 所以，如果您的意思与“完全根”不同，也许您可​​以澄清，谢谢！

Answer 2

根据 EAFP（请求宽恕比请求许可更容易）原则：

import errno

try:
    os.rename('/etc/foo', '/etc/bar')
except IOError as e:
    if e[0] == errno.EPERM:
       sys.exit("You need root permissions to do this, laterz!")

如果您担心 os.geteuid() 的不可移植性，您可能不应该搞砸无论如何/etc。

Answer 3

您可以提示用户进行 sudo 访问：

import os, subprocess

def prompt_sudo():
    ret = 0
    if os.geteuid() != 0:
        msg = "[sudo] password for %u:"
        ret = subprocess.check_call("sudo -v -p '%s'" % msg, shell=True)
    return ret

if prompt_sudo() != 0:
    # the user wasn't authenticated as a sudoer, exit?

sudo -v 开关更新用户的缓存凭据（请参阅 man sudo）。

Answer 4

对于Linux：

def is_root():
    return os.geteuid() == 0

Answer 5

我喜欢检查环境变量中的 sudo：

if not 'SUDO_UID' in os.environ:
    print "this program requires super user priv."
    sys.exit(1)

Answer 6

如果您确实希望您的代码在各种 Linux 配置中都具有鲁棒性，我建议您考虑一些极端情况，即有人可能使用 SELinux、文件系统 ACL 或 Linux 内核中的“功能”功能从 v.2.2 左右开始。您的进程可能在使用 SELinux 的某些包装器或某些 Linux 功能库下运行，例如 libcap2 libcap-ng，或 fscaps 或 elfcap 通过更多内容像尼尔斯·普罗沃斯那样充满异国情调的美妙但令人遗憾的低估 systrace 系统上的 systrace 结果。

所有这些都是您的代码可能以非 root 身份运行的方式，但您的进程可能已被委派必要的访问权限来执行其工作，而无需 EUID==0。

因此，我建议您考虑以更 Python 的方式编写代码，通过使用异常处理代码包装可能因权限或其他问题而失败的操作。如果您要执行各种操作（例如使用 subprocess 模块），您可能会为所有此类调用添加前缀 sudo （作为命令行、环境或例如，.rc 文件选项）。如果以交互方式运行，您可以使用 sudo 重新执行任何引发权限相关异常的命令（可选地，仅当您在 os.environ['PATH 上找到 sudo 时） ']）。

总的来说，大多数 Linux 和 UNIX 系统的大部分管理工作仍然由“root”特权用户完成。然而，这是老派的做法，作为程序员，我们应该尝试支持更新的模型。尝试您的操作并让异常处理完成其工作，使您的代码可以在任何透明地允许您需要的操作的系统下工作，并且了解并准备使用 sudo 是一个很好的接触（因为它是迄今为止最广泛的受控系统权限委派工具）。

Answer 7

import os

def check_privileges():

    if not os.environ.get("SUDO_UID") and os.geteuid() != 0:
        raise PermissionError("You need to run this script with sudo or as root.")

如果脚本未使用 sudo 运行，则 SUDO_UID 不可用。

Answer 8

回答问题的第二部分

（抱歉评论框太小）

Paul Hoffman，你是对的，我只解决了你的问题中涉及内在函数的一部分，但如果不能的话，它就不是一种有价值的脚本语言。 t 处理apt-get。首选库有点冗长，但它可以完成工作：

>>> apt_get = ['/usr/bin/apt-get', 'install', 'python']
>>> p = subprocess.Popen(apt_get, stdout=subprocess.PIPE, stderr=subprocess.PIPE)
>>> p.wait()
100                 # Houston, we have a problem.
>>> p.stderr.read()
'E: Could not open lock file /var/lib/dpkg/lock - open (13: Permission denied)'
'E: Unable to lock the administration directory (/var/lib/dpkg/), are you root?\n'

但是 Popen 是一个通用工具，可以为方便起见进行包装：

$ cat apt.py
import errno
import subprocess

def get_install(package):
    cmd = '/usr/bin/apt-get install'.split()
    cmd.append(package)
    output_kw = {'stdout': subprocess.PIPE, 'stderr': subprocess.PIPE}
    p = subprocess.Popen(cmd, **output_kw)
    status = p.wait()
    error = p.stderr.read().lower()
    if status and 'permission denied' in error:
        raise OSError(errno.EACCES, 'Permission denied running apt-get')
    # other conditions here as you require
$ python
>>> import apt
>>> apt.get_install('python')
Traceback ...
OSError: [Errno 13] Permission denied running apt-get

现在我们回到异常处理。我将拒绝对 subprocess 模块类似 Java 的过度通用性发表评论。

Answer 9

我的应用程序使用此代码：

import os
user = os.getenv("SUDO_USER")
if user is None:
    print "This program need 'sudo'"
    exit()

Answer 10

这完全取决于您希望应用程序的便携性。如果您指的是业务，我们必须假设管理员帐户并不总是等于 0。这意味着检查 euid 0 是不够的。问题是，在某些情况下，一个命令的行为就像您是 root 一样，而下一个命令会因权限被拒绝而失败（想想 SELinux 等）。因此，最好是优雅地失败并在适当的时候检查 EPERM errno。

Answer 11

我们不需要把事情复杂化..

os.getuid() == 0:  # is root

Answer 12

您可以使用此函数来检查：

#!/usr/bin/env python3
import os

def is_root() -> bool:
    if "posix" in os.name and os.geteuid() == 0:
        return True
    return False

参考：

此代码片段取自github.com/zulip/zulip
https://github.com/zulip/ zulip/blob/39c6a01c7493ba55277c31ba9034ebc05dcbd9c3/scripts/lib/zulip_tools.py#L545-L548