在 python 脚本中更改为 sudo 用户

Question

我有一个问题。我正在编写一个软件，需要它来执行需要用户处于 sudo 模式的操作。运行“sudo python filename.py”不是一个选项，这引出了我的问题。有没有一种方法可以通过 python 脚本更改为 sudo ，安全性不是问题，因为用户会知道程序应该按以下方式运行的 sudo 密码，以说明

1. 以普通用户身份运行的问题程序
2. .... ..执行操作
3. 用户输入sudo密码
4. 用户更改为sudo
5. 需要sudo权限的子程序
6. 在触发器上运行即使（子程序结束）用户再次成为普通用户
7. ......执行操作

我的问题在于步骤3，任何指针或者你建议的框架会有很大帮助。

干杯

克里斯

Answer 1

最好以提升的权限运行尽可能少的程序。您可以通过 subprocess.call() 函数运行需要更多权限的小部分，例如

import subprocess
returncode = subprocess.call(["/usr/bin/sudo", "/usr/bin/id"])

Answer 2

不要尝试让自己 sudo 只是检查你是否是，如果不是则错误

class NotSudo(Exception):
    pass

if os.getuid() != 0:
    raise NotSudo("This program is not run as sudo or elevated this it will not work")

Answer 3

我最近在制作系统安装脚本时处理了这个问题。要切换到超级用户权限，我将 subprocess.call() 与 'sudo' 一起使用：

#!/usr/bin/python

import subprocess
import shlex
import getpass

print "This script was called by: " + getpass.getuser()

print "Now do something as 'root'..."
subprocess.call(shlex.split('sudo id -nu'))

print "Now switch back to the calling user: " + getpass.getuser()

请注意，您需要使用 shlex.split() 使您的命令可用于 subprocess.call()。如果您想使用命令的输出，可以使用subprocess.check_output()。还有一个名为“sh”的软件包（http://amoffat.github.com/sh/ ），您可以将其用于此目的。

Answer 4

使用Tcl和Expect，再加上subprocess来提升自己。所以基本上是这样的：

sudo.tcl

spawn sudo
expect {
    "Password:" {
        send "password"
    }
}

sudo.py

import subprocess
subprocess.call(['tclsh', 'sudo.tcl'])

然后运行 ​​sudo.py。

Answer 5

如果您能够将需要提升权限的必要功能封装在单独的可执行文件中，则可以在可执行程序上使用 setuid 位，并从用户级 python 脚本中调用它。

这样，只有 setuid-executable 中的活动以 root 身份运行，但是执行此操作不需要 sudo，即 root 权限。仅创建/修改 setuid 可执行文件需要 sudo。

有一些安全隐患，例如确保您的 setuid 可执行程序正确清理任何用户输入（例如参数），以便它不会被欺骗做一些不应该做的事情（混乱的代理问题）。

参考：
编辑

：仅setuid似乎适用于编译的可执行文件（二进制文件），而不是解释的脚本，因此您可能需要使用编译的 setuid 包装器。

Answer 6

您可以使用 setuid 来设置用户 uid。但出于明显的安全原因，您只能在 root 身份（或程序具有 suid root 权限）的情况下执行此操作。这两者可能都是一个坏主意。

在这种情况下，您需要 sudo 权限才能运行特定程序。在这种情况下，只需替换为“sudo theprogram”即可。

Answer 7

import subprocess
subprocess.check_output("sudo -i -u " + str(username) + " ls -l", shell=True).decode("utf-8").strip()

Answer 8

不确定这对您有何帮助，并且它没有回答问题，但是，当您遇到所需的“root”用户问题并且您需要成为“root”才能阅读时，这是一种解决方法/写入文件夹或文件。

然后您可以更改权限并随后将其切换回来。我将其放在 docker-compose 文件中，该文件启动了一个将应用程序部署到服务器的 Python 脚本。这个解决方法是我让它运行的唯一方法。我什至不需要更改容器 bash 的权限，而是由脚本执行此操作，并且只需要密码两次。

在此解决方法之前，我尝试更改为 root 用户，然后使用该 root 用户执行大块代码，但无济于事。

run("ls -ld /usr/local/my_project/")
run("sudo chmod o+wx /usr/local/my_project/")
run("ls -ld /usr/local/my_project/")
my_code_that_needed_root_rights_and_now_runs_without_root_user()
run("sudo chmod 774 /usr/local/my_project/")
run("ls -ld /usr/local/my_project/")

以及输出：

[server_connection] run: ls -ld /usr/local/my_project/
[server_connection] Login password for 'my_user': 
[server_connection] out: drwxrwxr-- 45 root 100005 4096 Apr 25 13:52 /usr/local/my_project/
[server_connection] out: 

[server_connection] run: sudo chmod o+wx /usr/local/my_project/
[server_connection] out: [sudo] password for my_user: 
[server_connection] out: 

[server_connection] run: ls -ld /usr/local/my_project/
[server_connection] out: drwxrwxrwx 45 root 100005 4096 Apr 25 13:52 /usr/local/my_project/
[server_connection] out: 

[...]    

[server_connection] run: sudo chmod 774 /usr/local/my_project/
[server_connection] out: [sudo] password for my_user: 
[server_connection] out: 

[server_connection] run: ls -ld /usr/local/my_project/
[server_connection] out: drwxrwxr-- 46 root 100005 4096 Apr 25 14:02 /usr/local/my_project/
[server_connection] out: 

此后，服务器文件夹具有与之前相同的权限，并且代码不需要root用户来运行。

Answer 9

您是在谈论让用户在执行过程中输入密码吗？ raw_input() 可以从控制台获取用户输入，但它不会屏蔽密码。

>>>> y = raw_input()
somehting
>>> y
'somehting'