macOS下root切换用户执行命令报fork/exec invalid argument原因咨询

这个报错的核心触发原因是syscall.Credential结构中硬编码了用户组列表，和目标用户在设备上的实际组权限不匹配：

• 你代码中写死的Groups: []uint32{2, 3, 4}对应的是wheel、bin、sys三个系统级组，默认情况下Mac上UID=501的普通用户根本不属于这三个组，同时你也漏加了普通用户默认所属的staff、everyone、admin等必须组。
• macOS内核在执行fork/exec做身份切换时，会严格校验传入的凭证参数：如果传入的组列表包含目标用户不属于的组ID、或者缺少用户必须的组关联，就会直接返回EINVAL错误，对应你看到的fork/exec /bin/zsh invalid argument报错。
• 问题无法稳定复现的原因也和硬编码组有关：不同Mac设备的系统版本、用户权限配置、安装的服务都不一样，UID=501用户所属的附加组列表本身就不是固定值，只有刚好做过特殊配置、把501用户加入2/3/4组的设备才能跑通这段代码，普通设备都会触发校验失败。

• 最简便的修复方式：直接删除Credential结构中硬编码的Groups字段，macOS在执行身份切换时会自动加载目标UID对应的默认组列表，不会触发参数校验错误。
• 如果需要严格控制进程的组权限，不要硬编码组ID：通过标准库os/user包查询目标UID对应的实际主组ID、附加组ID列表，动态填入Credential结构，参考代码如下：

import (
    "os/exec"
    "os/user"
    "strconv"
    "syscall"
)

func main() {
    // 查询UID=501的用户信息
    targetUser, err := user.LookupId("501")
    if err != nil {
        panic(err)
    }

    // 解析用户ID、主组ID
    uid, err := strconv.ParseUint(targetUser.Uid, 10, 32)
    if err != nil {
        panic(err)
    }
    gid, err := strconv.ParseUint(targetUser.Gid, 10, 32)
    if err != nil {
        panic(err)
    }

    // 解析所有附加组ID
    groupIDStrs, err := targetUser.GroupIds()
    if err != nil {
        panic(err)
    }
    groups := make([]uint32, 0, len(groupIDStrs))
    for _, gStr := range groupIDStrs {
        gVal, err := strconv.ParseUint(gStr, 10, 32)
        if err != nil {
            continue
        }
        groups = append(groups, uint32(gVal))
    }

    cmd := exec.Command("/bin/zsh", "-c", `brew info goland`)
    cmd.SysProcAttr = &syscall.SysProcAttr{
        Credential: &syscall.Credential{
            Uid:    uint32(uid),
            Gid:    uint32(gid),
            Groups: groups,
        },
    }
    output, err := cmd.CombinedOutput()
    if err != nil {
        println(err.Error())
        return
    }
    println(string(output))
}

内容的提问来源于stack exchange，提问作者Gordon Liu