NodeJS 临时降权后恢复权限方案咨询，是否支持setresuid系统调用？

1. Node.js是否原生提供setresuid接口？ #

截止目前Node.js官方标准库未封装setresuid/setresgid系统调用，你没有遗漏官方API文档。

2. 现有代码报错原因 #

你当前的实现中调用了process.setuid(uid)，这个接口会一次性修改进程的真实UID、有效UID、保存设置UID三个值为普通用户ID，进程的保存设置UID是权限恢复的唯一凭证，被修改为普通用户ID后，自然没有权限再切回root，因此抛出EPERM错误。

3. 可行实现方案 #

方案1：仅修改有效UID实现临时降权（无需第三方依赖） #

如果不需要修改进程的真实UID，仅需让特定操作以低权限运行，仅调用process.seteuid修改有效UID即可，保留保存设置UID为0，后续可正常恢复root权限，示例代码如下：

#!/usr/bin/env node
// 需以root权限运行
const process = require('process')
const { execSync } = require('child_process')

const targetUid = 1000
const targetGid = 1000

if (process.getuid && process.seteuid && process.setegid) {
    console.log(`当前初始UID: ${process.getuid()}`)
    try {
        // 先降组再降权，避免权限残留
        process.setegid(targetGid)
        process.seteuid(targetUid)
        console.log(`临时降权后有效UID: ${process.geteuid()}`)
        // 执行低权限操作
        console.log('低权限操作执行结果:\n', execSync('id').toString())
    } catch (err) {
        console.error('降权操作失败:', err)
    }

    try {
        // 先恢复权限再恢复组
        process.seteuid(0)
        process.setegid(0)
        console.log(`恢复权限后有效UID: ${process.geteuid()}`)
        // 执行高权限操作
        console.log('高权限操作执行结果:\n', execSync('id').toString())
    } catch (err) {
        console.error('恢复权限失败:', err)
    }
}

方案2：调用原生libc接口使用setresuid（需第三方依赖） #

如果你需要完整使用setresuid的能力同时修改三个UID，可通过ffi-napi调用系统libc库的原生接口实现，示例逻辑如下：
首先安装依赖：npm install ffi-napi ref-napi
然后代码示例：

const ffi = require('ffi-napi')
const ref = require('ref-napi')

// 加载libc库
const libc = ffi.Library('libc.so.6', {
  'setresuid': ['int', ['uint32', 'uint32', 'uint32']],
  'setresgid': ['int', ['uint32', 'uint32', 'uint32']]
})

const uid = 1000
// 降权：真实UID=1000，有效UID=1000，保存设置UID=0（留作恢复用）
const res = libc.setresuid(uid, uid, 0)
if (res === 0) {
  console.log('降权成功')
  // 执行低权限操作
  // 恢复权限：三个UID都设为0
  libc.setresuid(0, 0, 0)
  console.log('恢复权限成功')
}

注：该方案仅适用于Linux系统，不同系统的libc名称和接口可能存在差异。

内容的提问来源于stack exchange，提问作者Monkeyphant