客户端以root运行时NFS共享文件写入权限问题及代码求助

你踩了一个非常典型的权限逻辑坑：虽然你用preexec_fn让执行命令的子进程成功降权到目标用户，但负责写入日志的log_file方法是在root权限的父进程里执行的！父进程始终保持root身份，往普通用户的NFS共享文件写入自然会触发Permission denied，这和子进程的权限状态完全无关。

下面给你几个实用的解决方案，按推荐优先级排序：

方案1：让降权后的子进程直接写入日志（最推荐） #

既然子进程已经是目标用户权限，不如直接让它把stdout和stderr输出到日志文件，跳过父进程中转——从根源上避免权限问题，还能减少不必要的内存占用。修改subprocess.Popen的调用逻辑：

def demote(self, user_uid, user_gid):
    def result():
        os.setgid(user_gid)
        os.setuid(user_uid)
    return result

# 日志路径提前定义
logfile = "/home/user/abd"

# 直接让子进程输出到日志文件
with open(logfile, 'a+') as log_fd:
    proc = subprocess.Popen(
        cmd1,
        shell=True,
        stdout=log_fd,
        stderr=subprocess.STDOUT,  # 错误信息也写入同一个日志，分开写可单独开文件
        preexec_fn=self.demote(user_uid, user_gid),
        env=my_env
    )
proc.wait()
exit_code = proc.returncode
self.conn.send(repr(exit_code).encode('utf-8'))

这种方式不需要父进程处理输出内容，子进程直接以目标用户身份写入，完全绕开root权限的限制。

方案2：父进程写入时临时降权 #

如果必须在父进程处理输出内容后再写入，那需要让log_file方法执行写入操作时临时切换到目标用户权限，写完后再切回root：

def log_file(self, content, log_path, user_uid, user_gid):
    try:
        # 保存root的原始权限信息
        original_uid = os.getuid()
        original_gid = os.getgid()
        
        # 切换到目标用户权限
        os.setgid(user_gid)
        os.setuid(user_uid)
        
        with open(log_path, 'a+') as file:
            fcntl.flock(file, fcntl.LOCK_EX | fcntl.LOCK_NB)
            file.write(content)
            fcntl.flock(file, fcntl.LOCK_UN)
    except IOError as e:
        print(f'日志写入/加锁失败: {e}')
    finally:
        # 必须切回root权限，否则父进程后续操作会受影响
        os.setuid(original_uid)
        os.setgid(original_gid)

# 调用时传入目标用户的uid和gid
if output:
    print("获取到命令输出")
    print(output)
    self.log_file(output, logfile, user_uid, user_gid)
if error:
    print("获取到错误信息")
    print(error)
    self.log_file(error, logfile, user_uid, user_gid)

注意：finally块一定要恢复root权限，否则父进程后续的所有操作都会以目标用户身份执行，可能引发更多权限问题。

方案3：用系统命令以目标用户身份写入 #

如果你不想手动处理权限切换，可以借助系统的runuser命令（比su更安全，无需密码），让父进程调用它以目标用户身份完成写入：

def log_file(self, content, log_path, user_name):
    try:
        # 用runuser切换用户执行写入命令
        proc = subprocess.Popen(
            ["runuser", "-u", user_name, "--", "bash", "-c", f'echo "{content}" >> {log_path}'],
            stdout=subprocess.PIPE,
            stderr=subprocess.PIPE
        )
        _, err = proc.communicate()
        if proc.returncode != 0:
            print(f'日志写入失败: {err.decode("utf-8")}')
    except Exception as e:
        print(f'日志写入异常: {e}')

这个方案依赖系统环境的runuser命令，适合不想深入处理os权限API的场景。

额外注意事项 #

• 无论用哪种方案，都要确保目标用户对NFS共享目录有读写权限，NFS服务器端的root_squash设置不会影响主动切换到真实用户uid的写入操作。
• 避免在shell=True时传入不可信的cmd1内容，防止命令注入风险——尤其是root进程执行的场景。

内容的提问来源于stack exchange，提问作者krock1516