Cron任务触发新gpg-agent进程致缓存密钥失效的原因与排查

我之前碰到过几乎一模一样的gpg-agent和cron冲突的问题，咱们先拆解下核心原因，再一步步说排查和解决办法。

核心问题原因 #

问题的本质是cron环境与交互式shell的环境变量差异，导致cron运行脚本时触发了新的gpg-agent实例：

• 交互式shell中，你启动gpg-agent后，系统会自动设置GPG_AGENT_INFO环境变量，这个变量告诉gpg工具要连接哪个agent实例的socket。
• 但cron运行时默认不会继承这个变量，任何隐含触发gpg调用的操作（哪怕你的脚本没显式调用gpg，比如chkrootkit扫描时可能触发了系统签名验证、或者某个依赖工具调用了gpg）都会因为找不到现有agent，而启动一个全新的实例。
• 新的gpg-agent在cron的无终端（non-TTY）环境下无法正常工作，你的检查脚本会错误连接到这个无效的新实例，从而抛出Inappropriate ioctl for device错误。

排查方法 #

1. 对比环境变量差异 #

在cron里添加一个临时任务，导出环境变量：

* * * * * root env > /tmp/cron_env.txt

然后在交互式shell里执行：

env > /tmp/shell_env.txt

对比两个文件，重点看GPG_AGENT_INFO、HOME、PATH这几个变量——你会发现cron环境里根本没有GPG_AGENT_INFO。

2. 追踪新agent的启动触发点 #

用strace跟踪cron脚本的执行过程，找到是什么操作启动了新的gpg-agent：

strace -f -o /tmp/chkrootkit_strace.log /root/testgpg

打开日志文件搜索gpg-agent关键词，就能看到具体是哪个进程触发了启动操作。

3. 检查gpg配置 #

查看你的gpg和agent配置文件，确认是否允许自动启动新实例：

cat ~/.gnupg/gpg.conf
cat ~/.gnupg/gpg-agent.conf

如果gpg.conf里没有no-autostart，默认会允许自动启动新agent。

解决方案 #

方案1：让cron继承gpg-agent的环境变量 #

在你的cron脚本开头，显式设置GPG_AGENT_INFO变量，指向已有的agent实例：

# 替换成你实际的socket路径和agent PID（可以用pidof gpg-agent获取）
export GPG_AGENT_INFO="/run/user/0/gnupg/S.gpg-agent:3309:1"

或者更动态的写法，自动获取当前运行的agent信息：

# 针对root用户，自动读取gpg-agent的socket路径
AGENT_SOCKET=$(find /root/.gnupg -name "S.gpg-agent" -type s)
AGENT_PID=$(pidof gpg-agent)
if [ -n "$AGENT_SOCKET" ] && [ -n "$AGENT_PID" ]; then
    export GPG_AGENT_INFO="${AGENT_SOCKET}:${AGENT_PID}:1"
fi

方案2：禁止gpg自动启动新agent实例 #

修改~/.gnupg/gpg.conf，添加：

no-autostart

同时修改~/.gnupg/gpg-agent.conf，设置适合无终端环境的pinentry程序：

pinentry-program /usr/bin/pinentry-tty

这样cron环境下触发gpg调用时，不会启动新agent，而是直接报错（或者连接到已有实例，如果环境变量正确的话），避免多实例冲突。

方案3：在检查脚本里强制指定agent socket #

修改你的checkgpg脚本，显式指定要使用的agent socket，避免随机连接到新实例：

#!/bin/bash
# checkgpg
KEY_ID=2B705B8B6FA943B1
# 强制指定现有agent的socket路径
export GPG_AGENT_INFO="/run/user/0/gnupg/S.gpg-agent:3309:1"
test=$(echo "1234" | gpg -q --batch --status-fd 1 --sign --local-user "$KEY_ID" --passphrase-fd 0 > /dev/null)
RET_VAL=$?
if [ $RET_VAL -eq 0 ]; then
    echo "OK, passphrase cached in gpg-agent is valid!"
else
    echo "Warning, passphrase cached in gpg-agent is invalid!"
fi

方案4：让cron脚本继承交互式shell的完整环境 #

在cron脚本开头导入你的shell配置文件，比如：

# 导入root用户的bash环境变量
source /root/.bash_profile

注意：如果你的.bashrc里有类似[[ $- != *i* ]] && return的判断（只允许交互式shell加载），需要注释掉这一行，否则环境变量不会被导入。

验证解决效果 #

修改后，手动运行cron脚本测试：

/root/testgpg

然后检查gpg-agent进程：

pidof gpg-agent

应该只会看到原来的3309进程，再运行你的checkgpg脚本，就能正常输出"OK"了。

内容的提问来源于stack exchange，提问作者MaXi32