在Yocto(Petalinux)中为自定义用户配置自定义.bashrc

一、修复自定义.bashrc的部署问题 #

你当前的recipe存在几处细节问题导致自定义.bashrc未生效，调整方案如下：

1. 修正脚本语法与文件覆盖问题
   你的modify_default_bashrc函数里的{D}是语法错误，应改为${D}；同时添加--no-create-home参数阻止系统自动生成默认家目录和.bashrc，确保自定义文件能正常部署：

   inherit extra users
   
   SRC_URI = "file://.bashrc"
   FILES_${PN} = "/home/user/.bashrc"
   
   # 禁用自动创建家目录，避免生成默认.bashrc
   EXTRA_USERS_PARAMS = "useradd -u 1200 -d /home/user/ -p '' -s /bin/rbash --no-create-home user"
   
   ROOTFS_POSTPROCESS_COMMAND += "setup_user_home;"
   
   setup_user_home () {
       # 创建家目录并设置正确归属
       mkdir -p ${D}/home/user
       chown 1200:1200 ${D}/home/user
       # 部署自定义.bashrc并设置权限
       install -m 0644 -o 1200 -g 1200 ${WORKINGDIR}/.bashrc ${D}/home/user/
       # 创建受限命令目录（仅root可修改）
       mkdir -p ${D}/home/user/bin
       chown root:root ${D}/home/user/bin
       chmod 0755 ${D}/home/user/bin
       # 示例：添加允许运行的命令软链接
       ln -sf /bin/ls ${D}/home/user/bin/ls
       ln -sf /bin/cat ${D}/home/user/bin/cat
   }
   

   核心改动：

   • 用--no-create-home避免系统自动生成默认配置文件
   • 手动指定家目录和.bashrc的归属与权限，防止被后续操作覆盖

2. 确保.bashrc的PATH配置生效
   在自定义.bashrc中添加以下内容，彻底锁定命令路径：

   # 仅允许使用受限目录中的命令
   export PATH="/home/user/bin"
   # 禁止用户修改PATH变量
   readonly PATH
   # 禁用历史记录防止泄露命令
   unset HISTFILE
   

二、更优的用户权限限制方案 #

除了rbash+PATH锁定，还有几种更可靠的限制方式：

• sudo精细化权限控制
  如果需要用户执行特定特权命令，可在sudoers文件中精准配置：

  # 示例：允许user用户无需密码重启nginx
  user ALL=(ALL) NOPASSWD: /bin/systemctl restart nginx
  

  这种方式灵活性更高，适合需要执行特定root操作的场景。

• AppArmor强制访问控制
  对于高安全要求环境，可通过AppArmor从内核层面限制用户操作。例如创建配置文件/etc/apparmor.d/profile.user：

  profile rbash-user /bin/rbash {
    # 允许访问家目录和受限命令目录
    /home/user/** r,
    /home/user/bin/* x,
    # 仅允许执行指定系统命令
    /bin/ls x,
    /bin/cat x,
    # 拒绝所有其他执行操作
    deny /** x,
  }
  

• rbash额外加固
  若坚持使用rbash，需补充以下操作：

  • 将用户家目录所有者设为root，权限改为0755（用户仅可读，不可修改）
  • 删除家目录中可能的逃逸文件（如.bash_history）
  • 禁止用户修改任何shell配置文件

内容的提问来源于stack exchange，提问作者DimDqkov