如何在bash脚本中免交互使用sudo执行特权命令？

不要尝试通过传参的方式给sudo传递密码，这种方式会导致密码明文暴露在脚本、进程列表或系统日志中，存在严重安全隐患，实现该需求的标准自动化方案是配置精细化的sudo免密规则，具体操作步骤如下：

操作步骤 #

• 首先确认运行SVN post-commit钩子的用户确实是apache，可以在钩子脚本里加whoami执行一次提交验证，避免后续规则配置错用户
• 使用visudo命令编辑sudo配置文件（不要直接手动修改/etc/sudoers，visudo会自动校验语法，避免配置错误导致sudo功能不可用）：

visudo

• 在配置文件末尾添加精细化免密规则，严格限制允许执行的操作范围，禁止配置无限制的权限：

# 方案1：直接限制chown命令的操作路径，替换为你实际的部署目录
apache ALL=(ALL) NOPASSWD: /bin/chown -R prod_user:prod_user /data/your_deploy_dir/*

更安全的写法：把chown以及其他部署后需要执行的提权操作，统一写到一个独立的脚本中，比如/usr/local/bin/svn_post_deploy.sh，脚本属主设为root、权限设为755，然后在sudoers中只放开这个脚本的执行权限，避免命令路径匹配被绕过：

apache ALL=(ALL) NOPASSWD: /usr/local/bin/svn_post_deploy.sh

• 修改post-commit钩子脚本，在原有svn export逻辑执行完成后，添加带sudo的chown调用即可，不需要加任何密码相关参数：

# 原有导出逻辑示例
# svn export file:///var/svn/your_repo /data/your_deploy_dir --force
# 新增提权改属主逻辑
sudo /bin/chown -R prod_user:prod_user /data/your_deploy_dir/*
# 如果用独立脚本的写法，就替换成下面这行
# sudo /usr/local/bin/svn_post_deploy.sh

• 给脚本加可执行权限后，提交一次代码验证逻辑是否正常即可，整个过程不需要人工交互，完全自动化运行。

不推荐传密码给sudo的原因 #

• 用echo "密码" | sudo -S 命令这类传参方式，密码会明文写在脚本中，任何有脚本读取权限的用户都能拿到密码
• 命令执行过程中，密码可能被ps命令的进程列表、系统审计日志、bash历史记录捕获，泄露风险极高
• 精细化配置的sudo免密规则是Linux自动化运维场景的标准实践，只要严格限制可执行的命令/脚本范围，安全性远高于明文存密码的方案。

内容的提问来源于stack exchange，提问作者asymmonds