Ruby on Rails中以sudo权限读取root文件的技术方案问询

首先明确一点：Ruby的File.open或File.read无法直接以sudo权限打开文件，因为这些方法是当前Ruby进程（也就是你的Rails应用运行的用户，比如www-data、deploy或其他部署用户）直接操作文件，进程本身没有root权限，所以会触发Errno::EACCES错误。

下面提供两种可行的解决方案，优先推荐更安全的权限调整方案，再讲sudo命令执行的方法：

方案1：调整文件权限/ACL（推荐） #

这是最安全的做法，不需要借助sudo，直接给Rails应用运行的用户赋予文件读取权限：

1. 先确定你的Rails应用运行的用户：

   • 如果用Puma+Nginx部署，通常是www-data或你自定义的部署用户（比如deploy）
   • 可以通过ps aux | grep puma命令查看进程所属用户

2. 修改文件的权限或ACL：

   • 方法一：将文件的组改为应用运行用户的组，并赋予组读取权限：

     sudo chown root:www-data /opt/rb/etc/cep/state.json
     sudo chmod 640 /opt/rb/etc/cep/state.json
     

   • 方法二（更灵活，适合不想修改文件所有者的情况）：用ACL给特定用户添加读取权限：

     sudo setfacl -m u:www-data:r /opt/rb/etc/cep/state.json
     

调整后，你就可以直接用File.read读取文件内容，然后生成下载响应：

def download_state
  begin
    file_content = File.read('/opt/rb/etc/cep/state.json')
    send_data file_content, filename: 'state.json', type: 'application/json', disposition: 'attachment'
  rescue Errno::EACCES => e
    flash[:error] = "读取文件失败：#{e.message}"
    redirect_to your_target_path
  end
end

方案2：通过sudo执行外部命令读取文件 #

如果因为某些限制无法调整文件权限，可以通过Ruby执行sudo cat命令获取文件内容，但需要做好安全配置：

步骤1：配置sudo免密权限 #

Rails应用运行的用户无法交互式输入sudo密码，所以需要在sudoers文件中配置免密执行特定的cat命令：

1. 用visudo编辑sudoers文件（必须用这个命令，避免语法错误导致sudo失效）：

   sudo visudo
   

2. 添加一行（替换www-data为你的应用运行用户）：

   www-data ALL=(root) NOPASSWD: /bin/cat /opt/rb/etc/cep/state.json
   

   这行的意思是：允许www-data用户以root身份免密执行/bin/cat命令读取指定文件，绝对不要给所有命令的免密权限，否则会带来严重安全风险。

步骤2：在Ruby代码中执行命令并获取内容 #

推荐用Open3.capture3来执行命令，它可以安全地传递参数，避免shell注入风险：

require 'open3'

def download_state
  file_path = '/opt/rb/etc/cep/state.json'
  stdout, stderr, status = Open3.capture3('sudo', 'cat', file_path)

  if status.success?
    send_data stdout, filename: 'state.json', type: 'application/json', disposition: 'attachment'
  else
    flash[:error] = "读取文件失败：#{stderr.strip}"
    redirect_to your_target_path
  end
end

关键注意事项 #

• 绝对不要用字符串拼接的方式构造命令（比如"sudo cat #{file_path}"），这会导致shell注入漏洞，攻击者可以通过构造恶意路径执行任意命令。
• 仅在万不得已时使用sudo方案，因为它会增加应用的攻击面。

内容的提问来源于stack exchange，提问作者FrankDrebbin