如何实现仅Python文件可读取特定文件？Django权限问题求助

问题描述 #

我正在完成一个高中项目，需要用私钥加密文件。已将私钥文件pkeyRSA.key的所有者设为root，权限配置为仅root用户可读取；同时把Django项目中的view.py所有者设为root，权限设为0777，但执行该Python文件时仍无法读取私钥，触发PermissionError。不想修改Python的权限来规避安全问题，试过利用进程PID但没解决，求可行方案。

错误回溯信息 #

Traceback (most recent call last):
  File "/home/mora/anaconda3/lib/python3.8/site-packages/django/core/handlers/exception.py", line 55, in inner
    response = get_response(request)
  File "/home/mora/anaconda3/lib/python3.8/site-packages/django/core/handlers/base.py", line 197, in _get_response
    response = wrapped_callback(request, *callback_args, **callback_kwargs)
  File "/home/mora/Bureau/secProject/computer_project_54740/secuServer/accounts/views.py", line 65, in home_view
    with open("certificats/pkeyRSA.key", "r") as fd:

Exception Type: PermissionError at /home/
Exception Value: [Errno 13] Permission denied: 'certificats/pkeyRSA.key'

已执行的权限配置命令 #

配置view.py权限：

sudo chown root view.py
sudo chmod 0777 view.py

配置pkeyRSA.key权限：

sudo chown root pkeyRSA.key
sudo chmod u+r pkeyRSA.key

可行解决方案 #

1. 为view.py添加SUID权限 #

你之前只给了0777权限，但没设置SUID位，导致程序还是以当前运行用户的身份执行，而非root。执行以下命令添加SUID：

sudo chmod u+s view.py

• 原理：SUID位会让程序以文件所有者（这里是root）的身份运行，这样就能读取仅root可读的私钥文件。
• 注意：确保view.py的所有者已经是root（你已经设置过），且不要给其他无关文件加SUID，避免安全风险。

2. 用sudo运行Django服务 #

直接以root身份启动Django服务，这样整个进程都有root权限，自然能读取私钥：

sudo -E python manage.py runserver

• -E参数用于保留当前用户的环境变量，避免root身份找不到Anaconda的依赖包。
• 注意：生产环境不建议这么做，但高中项目测试场景可以临时使用。

3. 创建专用用户组（更安全的方案） #

不需要root权限，通过用户组权限来实现访问控制：

1. 创建一个专门的用户组：

sudo groupadd keymgr

2. 修改私钥文件的组归属，并开放组读取权限：

sudo chgrp keymgr pkeyRSA.key
sudo chmod g+r pkeyRSA.key

3. 将运行Django的用户（比如你的用户mora）加入这个组：

sudo usermod -aG keymgr mora

4. 重新登录或重启终端，让组权限生效，再启动Django服务。

• 原理：让运行Django的用户通过组权限读取私钥，既保证了私钥的安全性（其他用户无法读取），又不用提升程序到root权限。

内容的提问来源于stack exchange，提问作者Leonardo Rafael Mora