JavaEE+Tomcat环境下执行GNU/Linux Shell命令及权限处理方法

一、执行Shell命令的最优实现 #

在JavaEE环境中，ProcessBuilder是执行Shell命令的首选方案，相比Runtime.exec()，它提供了更灵活的参数配置、环境变量控制，还能避免命令字符串拆分的坑。

基础实现示例 #

public class ShellExecutor {
    public static ShellResult executeCommand(String... command) throws IOException, InterruptedException {
        ProcessBuilder pb = new ProcessBuilder(command);
        // 合并错误流到标准输出，方便统一读取（可选，也可以分开处理）
        pb.redirectErrorStream(true);
        Process process = pb.start();

        // 读取命令输出
        String output = new String(process.getInputStream().readAllBytes(), StandardCharsets.UTF_8);
        // 等待命令执行完成
        int exitCode = process.waitFor();

        return new ShellResult(exitCode, output);
    }

    // 封装执行结果
    public static class ShellResult {
        private final int exitCode;
        private final String output;

        public ShellResult(int exitCode, String output) {
            this.exitCode = exitCode;
            this.output = output;
        }

        public int getExitCode() { return exitCode; }
        public String getOutput() { return output; }
    }
}

注意事项 #

• 避免直接拼接命令字符串（比如"bash ~/my_script.sh"），改用参数数组传递，防止命令注入攻击。比如执行脚本应该传new String[]{"bash", "/home/user/my_script.sh"}。
• 必须处理输入流和错误流，否则当输出缓冲区满时，进程会阻塞。上面的示例用redirectErrorStream(true)合并流，简化了读取逻辑。

二、判断命令执行是否出错 #

Linux命令的执行状态主要通过**退出码（exit code）**判断：

• 退出码为0：命令执行成功
• 非0退出码：命令执行失败（不同命令的非0码可能对应不同错误类型，可结合输出内容排查）

错误判断示例 #

public static void main(String[] args) {
    try {
        ShellResult result = ShellExecutor.executeCommand("bash", "/home/user/my_script.sh");
        if (result.getExitCode() != 0) {
            System.err.println("命令执行失败，退出码：" + result.getExitCode());
            System.err.println("错误输出：" + result.getOutput());
            // 这里可以根据业务逻辑做异常处理或告警
        } else {
            System.out.println("命令执行成功，输出：" + result.getOutput());
        }
    } catch (Exception e) {
        // 处理进程启动失败、IO异常等情况
        e.printStackTrace();
    }
}

三、处理需要root权限的命令 #

绝对不建议以root身份运行Tomcat服务（严重违反最小权限原则，会带来极大安全风险），推荐以下几种安全方案：

方案1：通过sudo授权Tomcat用户执行指定命令 #

1. 编辑sudoers配置文件：执行visudo命令（不要直接编辑/etc/sudoers，避免语法错误导致sudo失效）。
2. 添加授权规则，允许Tomcat用户（默认用户名为tomcat）无需密码执行目标脚本：

   tomcat ALL=(ALL) NOPASSWD: /home/user/my_script.sh
   

   注意：必须使用绝对路径，避免路径歧义；只授权必要的脚本，不要写NOPASSWD: ALL。
3. 在Java代码中通过sudo执行命令：

   ShellResult result = ShellExecutor.executeCommand("sudo", "/home/user/my_script.sh");
   

方案2：用setuid程序包装脚本（适用于特殊场景） #

由于Shell脚本无法直接设置setuid权限（Linux内核会忽略脚本的setuid位），可以写一个简单的C程序作为包装器：

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>

int main() {
    // 切换到root身份
    setuid(0);
    // 执行目标脚本（绝对路径）
    execl("/home/user/my_script.sh", "/home/user/my_script.sh", NULL);
    perror("执行失败");
    return 1;
}

编译并设置权限：

gcc wrapper.c -o script_wrapper
chown root:root script_wrapper
chmod u+s script_wrapper

然后Java代码中直接调用这个包装器：

ShellResult result = ShellExecutor.executeCommand("/path/to/script_wrapper");

注意：包装器要严格限制执行逻辑，避免被滥用。

方案3：通过守护进程触发（最安全） #

编写一个以root身份运行的独立守护进程（比如用Python/Go/C实现），Tomcat通过IPC（比如Socket、消息队列）发送执行请求，守护进程验证请求合法性后执行命令并返回结果。这种方式完全隔离了Tomcat的权限，是最安全的方案，但实现成本稍高。

内容的提问来源于stack exchange，提问作者Ommadawn