Python调用sudo最佳实践：如何维持会话避免超时？

核心逻辑 #

借助sudo自带的会话机制，主动刷新会话有效期避免超时，同时保留系统原生的密码输入流程（不用sudo -S明文传递密码）。

具体操作方法 #

1. 脚本启动先建立sudo会话 #

在脚本开头执行一次sudo -v，触发系统的密码输入提示，提前建立好sudo会话。后续再调用sudo命令时会直接复用这个会话，无需重复输入密码。

Python代码示例：

import subprocess

def setup_sudo_session():
    # 触发密码输入，初始化sudo会话
    subprocess.run(["sudo", "-v"], check=True)

2. 定时刷新会话防超时 #

sudo会话默认有超时时间（通常5-15分钟，取决于系统配置），可以在脚本运行期间每隔一段时间执行一次sudo -v，主动延长会话有效期。

用Python的线程定时器就能实现定时刷新：

import threading

def keep_sudo_alive():
    try:
        # 静默刷新会话，无任何输出
        subprocess.run(
            ["sudo", "-v", "-n"],
            check=True,
            stdout=subprocess.DEVNULL,
            stderr=subprocess.DEVNULL
        )
    except subprocess.CalledProcessError:
        # 会话已超时的话，重新触发密码输入
        setup_sudo_session()
    # 每隔4分钟刷新一次（比默认超时时间短即可）
    threading.Timer(240, keep_sudo_alive).start()

脚本启动时初始化会话并开启定时任务：

if __name__ == "__main__":
    setup_sudo_session()
    keep_sudo_alive()
    # 后续正常调用需要sudo权限的命令
    # subprocess.run(["sudo", "your-target-command"], ...)

3. 临时调大sudo超时时间（可选） #

如果允许临时修改sudo配置，可以给当前用户单独调长超时时间，不建议全局修改系统配置。更安全的方式是在/etc/sudoers.d/目录下创建自定义配置文件，比如99-my-sudo-timeout，内容如下：

你的用户名 ALL=(ALL) timestamp_timeout=30
这里的30代表30分钟超时，可根据实际需求调整。
注意：修改sudo配置需谨慎，确保配置文件权限为root:root 0440，避免引发安全风险。

注意事项 #

• 定时刷新的间隔要小于sudo默认超时时间，默认一般是5分钟（300秒），设置4分钟（240秒）比较稳妥。
• 使用-n参数执行sudo -v是无交互模式：会话未超时会静默刷新，不会弹出密码提示；若会话已超时，-n会导致命令失败，这时再重新调用初始化函数让用户输入密码即可。
• 依旧保持仅在需要权限的命令前加sudo，不要全程以sudo身份运行脚本，符合你原本的安全需求。

内容的提问来源于stack exchange，提问作者MaKaNu