Golang rootless程序用os.StartProcess执行sudo命令报错如何解决

结论 #

你猜测的临时修改文件所有者的方案不可行：/etc/sudo.conf、/usr/libexec/sudo/sudoers.so属于系统核心安全相关文件，默认仅root有权限修改属主，你当前无root权限的程序根本无法操作这类文件。

报错原因 #

1. 你代码中给syscall.Credential设置uid=0、gid=0的操作完全无效：普通用户运行的程序没有CAP_SETUID、CAP_SETGID系统权限，无法将新启动进程的UID/GID修改为0，启动的sudo进程实际还是运行在你当前的普通用户权限下。
2. 你看到的sudo报文件属主为65534的错误，大概率是运行环境为rootless容器、共享ns这类虚拟化场景：当前用户在namespace内映射的root对应宿主机的65534(nobody)用户，sudo的安全校验机制要求自身配置文件必须为真实UID 0所有，校验不通过就会直接终止运行。
3. 额外注意你现有代码的参数错误：os.StartProcess的第二个参数是进程的argv参数列表，第一个元素需要是程序本身的名称，你现有写法少了sudo作为argv[0]，就算权限没问题也会执行异常。

可行解决方案 #

你可以根据自己的使用场景选以下任意一种方案：

• 方案1：给Go程序二进制加setuid权限：用root身份执行chown root:root 你的程序二进制路径 && chmod u+s 你的程序二进制路径，程序启动后自带root权限，不需要再调用sudo，直接启动podman命令即可。
• 方案2：配置sudoers免密权限：用root身份执行visudo，添加一行配置运行程序的用户名 ALL=(ALL) NOPASSWD: /bin/podman image load *，修改代码去掉Credential相关配置，直接调用sudo即可。
• 方案3：如果是rootless容器环境运行，改用root身份启动容器，或者配置容器开启真实root权限映射，绕过用户uid映射的问题。

修正后的代码示例（适配方案2） #

// 去掉无效的Credential配置
attr := os.ProcAttr{
    Env: os.Environ(),
    Files: []*os.File{os.Stdin, os.Stdout, os.Stderr},
}
// argv第一个参数填sudo本身，修正参数错误
proc, err := os.StartProcess("/bin/sudo", []string{"sudo", "/bin/podman", "image", "load", "--input=" + scpOpts.Save.Output}, &attr)
if err != nil {
    return err
}

state, err := proc.Wait()
if err != nil {
    return err
}

fmt.Println(state.String())

内容的提问来源于stack exchange，提问作者cbd123