使用pidfd_getfd跨进程获取FD的权限替代方案咨询

问题背景 #

此前通过sendmsg/recvmsg结合CMSG辅助数据实现跨进程文件描述符（FD）传递，现尝试用pidfd_open和pidfd_getfd完成该操作，但进程间获取FD时触发EPERM权限错误。目前通过在持有FD的进程（pidb）中执行prctl(PR_SET_PTRACER, pida, 0, 0, 0)允许接收进程（pida）获取FD，代码如下：

fdtmp=syscall(SYS_pidfd_open, pidb, 0);
if (fdtmp>=0) {
   fda=syscall(SYS_pidfd_getfd, fdtmp, fdb, 0);
   close(fdtmp);
}

该方法可成功让fda指向同一会话套接字，但赋予pida的权限过高，现寻求更安全的替代方案。

替代方案 #

1. 回归Unix域套接字+CMSG的标准FD传递方式 #

这是跨进程FD传递最安全、权限最小的标准方案，无需赋予接收进程ptrace类高权限：

• 发送进程通过sendmsg将FD封装到CMSG辅助数据中，通过Unix域套接字发送给接收进程
• 接收进程通过recvmsg解析CMSG数据提取FD
• 核心优势：仅当发送进程主动发起传递时，接收进程才能获得FD，权限控制精准，无过度授权风险
• 发送端核心代码示例：

struct msghdr msg = {0};
struct cmsghdr *cmsg;
char buf[CMSG_SPACE(sizeof(int))];

msg.msg_control = buf;
msg.msg_controllen = sizeof(buf);
cmsg = CMSG_FIRSTHDR(&msg);
cmsg->cmsg_level = SOL_SOCKET;
cmsg->cmsg_type = SCM_RIGHTS;
cmsg->cmsg_len = CMSG_LEN(sizeof(int));
*(int *)CMSG_DATA(cmsg) = fdb;

sendmsg(sockfd, &msg, 0);

2. 利用进程身份匹配降低权限要求 #

若两个进程满足以下任一条件，pidfd_getfd可无需PR_SET_PTRACER或CAP_SYS_PTRACE：

• 两个进程拥有相同的有效用户ID（EUID）
• 调用进程（pida）的真实用户ID（RUID）等于目标进程（pidb）的EUID或RUID
• 优势：依赖系统原生身份权限机制，无需额外配置，比全局ptrace授权更安全

3. 文件描述符继承（仅限父子进程场景） #

若pida是pidb的子进程，可在fork前确保目标FD未设置FD_CLOEXEC标志，子进程会自动继承该FD：

• 操作步骤：在pidb中执行fcntl(fdb, F_SETFD, fcntl(fdb, F_GETFD) & ~FD_CLOEXEC)清除关闭-on-exec标志，再fork出pida
• 优势：无额外权限开销，但仅适用于父子进程或进程树内的场景

4. 精细管控CAP_SYS_PTRACE能力（谨慎使用） #

若必须使用pidfd_getfd，可给pida授予CAP_SYS_PTRACE能力，但缩小权限范围：

• 仅给目标程序添加能力：setcap cap_sys_ptrace=ep ./pida
• 结合Linux能力集边界管控，避免进程拥有过多不必要权限
• 注意：该能力仍允许pida对系统内多数进程执行ptrace操作，权限范围仍大于标准FD传递，仅在特殊场景下使用

内容的提问来源于stack exchange，提问作者user1388973