Java Spring中以Linux用户运行命令：使用SSH是否可行及替代方案

1. 该场景下使用SSH是否合理？ #

完全不合理，原因如下：

• SSH执行系统命令相当于给应用开放了服务器层面的高权限操作入口，一旦应用出现注入漏洞，攻击者可直接获取服务器完全控制权，风险等级极高
• 操作Unix ACL时如果通过SSH执行setfacl/getfacl等命令，很容易因参数拼接不严谨产生命令注入漏洞，即使做了参数校验，安全性也远低于原生调用方案

2. 可落地的替代方案 #

方案1：原生Posix权限API（适合基础权限控制场景） #

如果你的需求仅包含基础的用户/组读、写、执行权限控制，不需要扩展ACL规则，可以直接使用Java NIO自带的PosixFileAttributeView完成操作，不需要调用任何外部命令：

Path targetPath = Paths.get("/target/directory");
Set<PosixFilePermission> permissions = PosixFilePermissions.fromString("rwxr-x---");
Files.getFileAttributeView(targetPath, PosixFileAttributeView.class)
     .setPermissions(permissions);

方案2：Unix ACL原生绑定库（适合需要扩展ACL的场景） #

如果必须用到Unix ACL的扩展能力（比如给特定用户单独配置权限、设置继承规则等），可以直接使用libacl的Java绑定库（比如JNI封装的acl-api或者配合junixsocket做系统调用），直接在JVM进程内完成ACL的读写操作，全程不需要调用外部命令也不需要SSH。

方案3：本地ProcessBuilder调用（适合必须执行外部命令的场景） #

如果确实有特殊逻辑需要执行外部setfacl/getfacl命令，也不要使用SSH，直接在本地通过ProcessBuilder调用，注意严格将每个参数作为独立元素传入，禁止字符串拼接，避免命令注入：

// 正确示例，参数隔离
ProcessBuilder pb = new ProcessBuilder(
    "setfacl",
    "-m",
    "u:testuser:rwx",
    "/target/directory"
);
pb.start();

同时需要给运行Spring Boot的系统用户分配最小权限，仅开放目标目录的ACL操作权限，不要授予sudo或其他多余权限。

内容的提问来源于stack exchange，提问作者rewrewty1