Linux下C#调用setgid临时切换主组失败，报错操作不允许

以非root用户bj登录Linux系统，执行id命令输出如下：

bj@pc-bj:~$ id
uid=1000(bj) gid=1000(bj) groups=1000(bj),5(tty),20(dialout),24(cdrom),25(floppy),29(audio),1006(internetallowed)

使用newgrp internetallowed可以成功将internetallowed切换为主组，执行后id输出：

bj@pc-bj:~$ newgrp internetallowed
bj@pc-bj:~$ id
uid=1000(bj) gid=1006(internetallowed) groups=1006(internetallowed),5(tty),20(dialout),24(cdrom),25(floppy),29(audio),1000(bj)

尝试在.NET 7中通过P/Invoke调用libc的setgid()实现相同功能，代码如下：

public static class LinuxAPI
{
    [DllImport ("libc", SetLastError = true)]
    public static extern int setgid (UInt32 gid);
    public static int GetLastError()
    {
        return Marshal.GetLastSystemError();
    }
}

static void Main(string[] args)
{
    var result = LinuxAPI.setgid(1006);  // 返回-1（错误）
    var error = LinuxAPI.GetLastError();  // 返回1（操作不允许）
}

但调用setgid()失败，errno为1（操作不允许），请问问题出在哪里？

原因与解决方案 #

失败原因 #

setgid()的权限规则和预期不同：

• 非root用户调用setgid(gid)时，要求gid必须等于当前的有效组ID，或者进程拥有CAP_SETGID权限
• newgrp并非直接调用setgid()，它会通过setregid()同时修改真实组ID和有效组ID，并且会启动新shell进程完成组切换逻辑

当前你的有效组ID是1000（bj），1006（internetallowed）只是附属组，因此直接调用setgid(1006)会被内核拒绝。

解决方案1：使用setregid()替代setgid() #

setregid()允许非root用户将真实组ID和有效组ID设置为自身附属组之一，这符合newgrp的底层逻辑。修改代码如下：

using System.Runtime.InteropServices;

public static class LinuxAPI
{
    [DllImport("libc", SetLastError = true)]
    public static extern int setregid(uint rgid, uint egid);
    
    public static int GetLastError()
    {
        return Marshal.GetLastSystemError();
    }
}

static void Main(string[] args)
{
    // 将真实组ID和有效组ID同时设置为internetallowed的GID（1006）
    var result = LinuxAPI.setregid(1006, 1006);
    if (result == -1)
    {
        var errorCode = LinuxAPI.GetLastError();
        Console.WriteLine($"切换失败，错误码：{errorCode}");
    }
    else
    {
        Console.WriteLine("主组切换成功");
        // 可通过调用getgid()验证，或执行id命令输出结果
    }
}

解决方案2：直接调用newgrp进程 #

如果需要在新进程中运行切换组后的命令，可以直接调用newgrp工具，模拟终端中的操作：

using System.Diagnostics;

static void Main(string[] args)
{
    var process = new Process();
    // 启动newgrp并执行id命令验证切换结果
    process.StartInfo.FileName = "newgrp";
    process.StartInfo.Arguments = "internetallowed -c id";
    process.StartInfo.UseShellExecute = false;
    process.StartInfo.RedirectStandardOutput = true;
    
    process.Start();
    string output = process.StandardOutput.ReadToEnd();
    process.WaitForExit();
    
    Console.WriteLine("切换后的组信息：");
    Console.WriteLine(output);
}

内容的提问来源于stack exchange，提问作者Bigjim