如何从Golang应用安全编辑/etc/sudoers文件或授予用户sudo权限？

一、借助visudo语法检查安全编辑sudoers相关文件 #

直接编辑/etc/sudoers风险极高，推荐优先使用/etc/sudoers.d/目录（sudo会自动加载该目录下的所有合规文件），结合visudo的语法检查流程如下：

1. 生成临时规则文件
   在Golang中将要添加的sudo规则写入临时文件，避免直接操作系统核心文件：

   tempFile, err := os.CreateTemp("", "sudo_rule_")
   if err != nil {
       // 处理文件创建错误
   }
   defer os.Remove(tempFile.Name())
   _, err = tempFile.WriteString("testuser ALL=(ALL) NOPASSWD: ALL\n")
   tempFile.Close()
   

2. 用visudo验证语法合法性
   通过os/exec调用visudo检查临时文件的语法，只有检查通过才继续后续操作：

   cmd := exec.Command("visudo", "-c", "-f", tempFile.Name())
   if err := cmd.Run(); err != nil {
       // 语法错误，终止操作并抛出提示
       panic("sudo规则语法无效: " + err.Error())
   }
   

3. 写入sudoers.d目录
   检查通过后，将规则写入/etc/sudoers.d/下的文件，注意文件权限必须设为0440（否则sudo会忽略该文件）：

   targetPath := "/etc/sudoers.d/testuser"
   err = os.WriteFile(targetPath, []byte("testuser ALL=(ALL) NOPASSWD: ALL\n"), 0440)
   if err != nil {
       // 处理写入错误
   }
   

如果必须修改主/etc/sudoers文件，建议先备份原文件，将新规则与原内容合并生成临时文件，再用visudo检查合并后的文件，确认无误后替换原文件（此操作风险较高，谨慎使用）。

二、无需编辑sudoers文件的替代方法 #

1. 将用户添加到sudo用户组 #

多数Linux发行版（如Ubuntu、Debian）默认存在sudo用户组，加入该组的用户自动获得sudo权限。在Golang中执行以下命令即可：

cmd := exec.Command("usermod", "-aG", "sudo", "testuser")
cmd.Stderr = os.Stderr // 捕获错误输出便于排查
if err := cmd.Run(); err != nil {
    panic("添加用户到sudo组失败: " + err.Error())
}

注意：用户需要重新登录后，组权限才会生效，且操作必须以root权限执行。

2. 使用Polkit配置权限 #

对于systemd系统，可通过Polkit（PolicyKit）配置用户权限，无需修改sudoers：

• 在Golang中创建/etc/polkit-1/localauthority/50-local.d/allow-testuser.pkla文件，内容如下：

  [Allow testuser to execute any command as root]
  Identity=unix-user:testuser
  Action=org.freedesktop.policykit.exec
  ResultActive=yes
  

• 用户后续可通过pkexec命令执行需要root权限的操作，Polkit会自动加载该配置。

内容的提问来源于stack exchange，提问作者Siva