Linux下应用无需重复验证以指定用户权限访问文件的方法

首先明确：你期望的Linux内核直接生成令牌供应用切换用户的机制并不存在。内核不负责管理用户会话的认证令牌，这类身份切换逻辑属于用户态的身份验证框架（如PAM）或权限管理工具范畴。

以下是几种无需重复输入凭证、让python-app代user执行操作的可行方案：

1. 基于PAM会话的无密码切换 #

当user通过应用认证后，可借助PAM（Pluggable Authentication Modules）的会话管理功能完成身份切换，无需再次输入密码：

• 用Python的python-pam库对接PAM，在完成用户认证后初始化PAM会话；
• 调用setuid()系统调用切换到user的UID（需确保PAM会话已正确初始化，且应用进程具备切换权限——通常PAM认证成功后会授予对应凭证）；
• 更安全的方式是fork子进程，在子进程中完成身份切换后执行目标操作，避免主进程权限变更。

示例伪代码：

import pam
import os
import pwd

# 完成用户认证（此处已通过OAuth2/账号密码等方式验证，仅用PAM确认身份）
pam_auth = pam.pam()
if pam_auth.authenticate('user', '已验证的用户凭证'):
    # 获取user的UID/GID
    pw = pwd.getpwnam('user')
    # fork子进程
    pid = os.fork()
    if pid == 0:
        # 子进程中切换身份
        os.setgid(pw.pw_gid)
        os.setuid(pw.pw_uid)
        # 执行目标操作
        os.execvp('ls', ['ls', '/home/user'])
    else:
        os.waitpid(pid, 0)

2. 利用Polkit（PolicyKit）授权 #

配置Polkit规则，允许python-app用户无需密码，以user身份执行指定命令：

• 创建Polkit规则文件/etc/polkit-1/rules.d/50-python-app.rules：

  polkit.addRule(function(action, subject) {
      // 严格限制允许执行的命令和用户，避免过度授权
      if (action.id.startsWith("org.freedesktop.policykit.exec") &&
          subject.user == "python-app" &&
          action.lookup("user") == "user" &&
          action.lookup("command") == "/path/to/your/target-command") {
          return polkit.Result.YES;
      }
  });
  

• 之后python-app可通过pkexec --user user /path/to/your/target-command执行操作，无需输入密码。

3. Setuid辅助进程（需一次性root配置） #

创建一个小型的setuid辅助程序，作为权限切换的安全中间层：

• 编写C语言辅助程序（仅执行身份验证和切换逻辑，避免权限滥用）：

  #include <stdio.h>
  #include <unistd.h>
  #include <pwd.h>
  #include <string.h>
  
  int main(int argc, char *argv[]) {
      // 1. 验证来自python-app的合法令牌（比如预共享的加密密钥）
      if (strcmp(getenv("AUTH_TOKEN"), "your-pre-shared-secret") != 0) {
          fprintf(stderr, "Invalid authorization token\n");
          return 1;
      }
      // 2. 获取目标用户user的UID/GID
      struct passwd *pw = getpwnam("user");
      if (!pw) {
          fprintf(stderr, "Target user not found\n");
          return 1;
      }
      // 3. 切换身份
      if (setgid(pw->pw_gid) != 0 || setuid(pw->pw_uid) != 0) {
          perror("Failed to switch user");
          return 1;
      }
      // 4. 执行目标命令
      if (argc < 2) {
          fprintf(stderr, "No command specified\n");
          return 1;
      }
      execvp(argv[1], &argv[1]);
      perror("Command execution failed");
      return 1;
  }
  

• 编译并设置setuid权限：

  gcc -o user-switch-helper user-switch-helper.c
  sudo chown root:root user-switch-helper
  sudo chmod u+s user-switch-helper
  

• python-app可通过设置环境变量并调用该程序执行操作：

  import os
  os.environ['AUTH_TOKEN'] = 'your-pre-shared-secret'
  os.execvp('./user-switch-helper', ['./user-switch-helper', 'cat', '/home/user/private-file.txt'])
  

关于RStudio Server的实现逻辑 #

RStudio Server并没有使用内核令牌，而是依赖PAM完成用户认证后，通过以下流程切换权限：

1. 以rstudio-server用户运行的认证服务验证用户凭证；
2. 认证通过后，fork子进程并初始化PAM会话；
3. 在子进程中调用setuid()切换到目标用户的UID；
4. 启动用户的R会话进程，继承PAM会话的环境和权限。

内容的提问来源于stack exchange，提问作者sbanders