AWS ECS Fargate中Java Process Builder执行7za命令异常排查

基于Corretto 17的Docker镜像，已通过yum install -y p7zip安装p7zip，创建普通用户并复制Spring Boot JAR文件后部署在AWS ECS Fargate集群中。执行命令7za a -ptest123 /data/app/encrypted/test.7z /data/app/files/test.txt时，7za未按预期创建加密归档文件，反而尝试打开该归档，报错无法打开且操作不被允许，退出码为2。但在Docker镜像构建阶段执行相同命令可正常完成归档。

错误日志 #

2023-05-16T10:28:08.440-06:00    7-Zip (a) [64] 16.02 : Copyright (c) 1999-2016 Igor Pavlov : 2016-05-21
2023-05-16T10:28:08.440-06:00    p7zip Version 16.02 (locale=C.UTF-8,Utf16=on,HugeFiles=on,64 bits,2 CPUs Intel(R) Xeon(R) CPU E5-2666 v3 @ 2.90GHz (306F2),ASM,AES-NI)
2023-05-16T10:28:08.440-06:00    Open archive: /data/app/encrypted/test.7z
2023-05-16T10:28:08.440-06:00    ERROR: /data/app/encrypted/test.7z
2023-05-16T10:28:08.440-06:00    /data/app/encrypted/test.7z
2023-05-16T10:28:08.440-06:00    Open ERROR: Can not open the file as [7z] archive
2023-05-16T10:28:08.440-06:00    ERRORS:
2023-05-16T10:28:08.440-06:00    Is not archive
2023-05-16T10:28:08.440-06:00    System ERROR:
2023-05-16T10:28:08.440-06:00    Operation not permitted
2023-05-16T10:28:08.440-06:00    Exit Code: 2

相关Java代码 #

private static synchronized void linuxCmd(String cmd) {
    try {
        // Create a ProcessBuilder for the command
        ProcessBuilder processBuilder = new ProcessBuilder(cmd.split("\\s+"));

        // Merge error stream with output stream
        processBuilder.redirectErrorStream(true);

        // Start the process
        Process process = processBuilder.start();

        // Read the output of the process
        BufferedReader reader = new BufferedReader(new InputStreamReader(process.getInputStream()));
        String line;
        StringBuilder output = new StringBuilder();
        while ((line = reader.readLine()) != null) {
            output.append(line).append("\n");
        }

        // Wait for the process to finish
        int exitCode = process.waitFor();

        // Print the output and exit code
        System.out.println("Output:\n" + output.toString());
        System.out.println("Exit Code: " + exitCode);
    } catch (IOException | InterruptedException e) {
        e.printStackTrace();
    }
}

原因及解决方法 #

1. 命令参数拆分错误 #

cmd.split("\\s+")会将密码参数-ptest123拆分为-p和test123两个独立参数，导致7za无法识别完整的密码配置，命令解析逻辑混乱，误将目标归档文件当作已存在的归档尝试打开。

解决方式：直接传递参数列表而非拆分字符串，确保每个参数独立完整：

ProcessBuilder processBuilder = new ProcessBuilder(
    "7za", "a", "-ptest123", 
    "/data/app/encrypted/test.7z", 
    "/data/app/files/test.txt"
);

2. 目录权限不足 #

镜像构建阶段以root用户执行命令，默认拥有所有目录权限；但ECS Fargate运行时使用普通用户，可能缺乏/data/app/encrypted/目录的写入权限，导致无法创建归档文件，触发"Operation not permitted"错误。

解决方式：

• 镜像构建时，修改目标目录的所有者及权限：

  RUN mkdir -p /data/app/encrypted && \
      chown -R your-app-user:your-app-group /data/app/encrypted && \
      chmod -R 755 /data/app/encrypted
  

• 若使用了ECS挂载卷，检查任务定义中的卷权限配置，确保允许普通用户写入。

3. 额外验证点 #

• 确认/data/app/files/test.txt文件存在且普通用户拥有读取权限；
• 考虑升级p7zip版本（当前使用的16.02为2016年旧版本，可能存在兼容性问题）。

内容的提问来源于stack exchange，提问作者GouthamRio