使用sudo运行Python脚本时如何仅让指定部分以root权限执行？

完全可以实现，且你现有子进程调用的代码逻辑不需要大幅改动即可适配。核心思路是脚本启动后第一时间将有效权限从root降为执行sudo前的普通用户，仅在需要执行特权操作时临时恢复权限，操作完成立刻降权，最小化高权限持有时间。

第一步：启动时默认丢弃root权限 #

使用sudo启动脚本时，系统会自动注入SUDO_UID和SUDO_GID两个环境变量，存储执行sudo前普通用户的用户ID和组ID，在脚本最开头执行以下代码，即可将进程有效权限切回普通用户，且保留后续恢复root的能力：

import os
import subprocess

# 仅在root权限下执行降权逻辑
if os.geteuid() == 0:
    orig_uid = int(os.environ["SUDO_UID"])
    orig_gid = int(os.environ["SUDO_GID"])
    # 注意顺序：先切组再切用户，顺序颠倒会因权限不足报错
    os.setegid(orig_gid)
    os.seteuid(orig_uid)

关键提醒：这里必须用os.seteuid()/os.setegid()修改有效身份，不能用os.setuid()/os.setgid()，后者会永久清空root身份，后续无法再恢复权限。

第二步：按需恢复root特权 #

根据你的使用场景（所有特权逻辑都是子进程调用），有两种成熟方案可选：

方案1：复用现有sudo调用逻辑，无代码改动 #

你当前写的subprocess.Popen(["sudo","ls"])这类代码可以直接保留，不需要修改：

• sudo启动脚本时会自动生成凭证缓存，默认有效期内调用sudo不会重复弹出密码提示
• 如果担心缓存过期，可以在执行特权操作前先静默续期凭证，全程无交互：

  # 执行特权操作前调用，无输出无交互，自动续上sudo缓存
  subprocess.run(["sudo", "-v"], check=True, capture_output=True)
  # 后续直接执行原有sudo子进程代码即可
  subprocess.Popen(["sudo", "ls"])
  

方案2：不依赖sudo缓存，临时提权启动子进程 #

如果不想受sudo缓存规则限制，可以在父进程临时切回root权限，启动子进程后立刻降权，子进程会自动继承root权限，连命令前的sudo前缀都不需要加：

def run_as_root(cmd):
    # 临时恢复root权限
    os.seteuid(0)
    os.setegid(0)
    try:
        # 启动子进程，子进程继承root权限
        proc = subprocess.Popen(cmd)
        # 子进程启动后立刻给父进程降权，无需等待子进程执行完成
        os.setegid(orig_gid)
        os.seteuid(orig_uid)
        return proc
    except Exception as e:
        # 异常场景必须强制降权，避免父进程长期持有root权限
        os.setegid(orig_gid)
        os.seteuid(orig_uid)
        raise e

# 调用示例，不需要加sudo前缀
run_as_root(["ls"])

安全提示：临时提权后必须确保无论逻辑是否报错，父进程最终都会回到普通用户权限，避免出现权限泄露。

内容的提问来源于stack exchange，提问作者DrownedSuccess