systemd hook/crontab脚本如何访问已打开的用户kwallet密钥环

你之前踩的坑本质都是跨系统/用户会话上下文访问D-Bus导致的，不用硬在root运行的sleep钩子里折腾密钥环权限，把逻辑拆成系统层信号转发+用户层实际执行两部分就行，全程不用手动导出DBUS地址，不会出现管道断裂或者环境变量缺失的报错。

步骤1：配置用户级systemd服务 #

这个服务跑在你的普通用户上下文里，天生有访问当前会话KWallet的权限，不会触发密钥环报错。

1. 创建服务文件，路径为~/.config/systemd/user/protonvpn-sleep-handler.service，写入以下内容：

   [Unit]
   Description=ProtonVPN sleep/wakeup handler
   
   [Service]
   Type=oneshot
   # 唤醒后执行连接
   ExecStart=/usr/bin/protonvpn-cli c --sc
   # 休眠前执行断开
   ExecStop=/usr/bin/protonvpn-cli d
   RemainAfterExit=yes
   

2. 执行以下命令重载配置并设置开机自启：

   systemctl --user daemon-reload
   systemctl --user enable protonvpn-sleep-handler.service
   

3. 开启用户linger，保证用户systemd实例不需要等图形界面登录就会启动，避免唤醒后服务没加载：

   # 这条命令需要root权限执行，把your_username替换成你自己的用户名
   sudo loginctl enable-linger your_username
   

步骤2：配置系统级sleep钩子 #

这个钩子只负责在系统休眠/唤醒的节点，给你的用户服务发启动/停止指令，不直接执行VPN相关命令。

1. 创建钩子文件，路径为/usr/lib/systemd/system-sleep/protonvpn-sleep-hook，写入以下内容：

   #!/bin/bash
   # 单用户使用直接把下面的YOUR_USERNAME替换成你自己的用户名即可，多用户可以保留遍历逻辑
   TARGET_USER="YOUR_USERNAME"
   
   case $1/$2 in
     pre/*)
       # 休眠/挂起前断开VPN
       su - $TARGET_USER -c "systemctl --user stop protonvpn-sleep-handler.service"
       ;;
     post/*)
       # 唤醒后连接VPN
       su - $TARGET_USER -c "systemctl --user start protonvpn-sleep-handler.service"
       ;;
   esac
   

2. 给钩子加可执行权限：

   sudo chmod +x /usr/lib/systemd/system-sleep/protonvpn-sleep-hook
   

之前方案失效的原因 #

• 直接用sudo -u切用户执行命令时，不会自动加载对应用户活跃图形会话的D-Bus环境变量，所以会报DBUS_SESSION_BUS_ADDRESS is unset
• 手动导出DBUS地址时大概率取到了非活跃/已销毁会话的总线路径，才会触发Broken pipe报错
• 用户级systemd实例确实无法直接关联系统级的suspend、hibernate目标，通过系统钩子做信号转发是通用的跨实例通信方式，不存在进程隔离问题。

内容的提问来源于stack exchange，提问作者crapula