如何编写供无sudo权限用户调用、免密执行权限修正的shell工具及分发方案

要实现普通用户执行操作时无需输入sudo密码，核心原则是最小权限开放，绝对不能给普通用户开放无限制的sudo权限，具体配置步骤：

1. 先将需要执行的权限修正逻辑封装为独立脚本（示例脚本内容见下文），脚本内部需要调用固定参数的chown、chmod命令
2. 使用visudo命令编辑sudo配置（也可以在/etc/sudoers.d/目录下新建独立配置文件，更易维护），严格限定可无密码执行的命令范围，追加如下规则：

   ALL ALL=(root) NOPASSWD: /usr/bin/chown this_user:that_group /foo/bar/*.ext, /usr/bin/chmod 750 /foo/bar/*.ext
   

3. 注意事项：
   • 配置中必须写全命令的绝对路径，可通过which chown、which chmod确认系统实际路径，避免路径匹配失效
   • 通配符仅匹配固定路径下的目标后缀文件，不要放宽匹配范围（比如不能用*代替完整路径），否则容易被利用完成提权
   • 若在/etc/sudoers.d/目录下新建独立配置文件，需将文件权限设为0440、属主设为root:root，否则sudo服务会自动忽略该配置
   • 不要使用setuid位实现权限提升：主流Linux发行版为了安全，内核默认禁止shell脚本生效setuid权限，且该机制本身风险极高，极易被脚本漏洞利用导致提权

直接将脚本放入/usr/bin目录从功能上是足够的——该路径默认在所有用户的系统PATH变量中，只要权限配置正确，普通用户可以直接输入脚本名称调用，无需写全路径。但从长期维护和合规角度，直接放在/usr/bin存在一定问题，需要结合规范调整：

1. 路径选择建议：
   • 不推荐直接使用/usr/bin：该路径由系统包管理器统一管理，后续系统升级、软件安装时，同路径下的自定义脚本可能被覆盖，或者和包管理的文件产生冲突
   • 更符合FHS（文件系统层级标准）的部署路径是/usr/local/bin，该路径是专门留给管理员部署自定义全局工具的，默认在所有用户的PATH范围内，不会被系统包管理操作影响
   • 无论选择哪个全局路径，系统默认配置已保证普通用户对该路径有执行权限，无需额外调整
2. 脚本本身的权限要求：
   • 脚本属主必须设置为root:root，权限设为755，绝对不能开放写权限给普通用户（即不能设置为777、666这类权限），否则一旦脚本被篡改植入恶意命令，所有执行该工具的普通用户都会间接获得root权限
   • 不要在脚本中接受外部传入的路径、参数，硬编码固定的操作目标路径，避免被路径遍历攻击利用
3. 示例脚本参考：

   #!/bin/bash
   TARGET_DIR="/foo/bar"
   FILE_SUFFIX=".ext"
   # 前置校验目标目录存在
   if [ ! -d "$TARGET_DIR" ]; then
       echo "错误：目标权限修正目录$TARGET_DIR不存在，操作终止"
       exit 1
   fi
   # 执行固定权限修正操作
   sudo chown this_user:that_group "$TARGET_DIR"/*"$FILE_SUFFIX"
   sudo chmod 750 "$TARGET_DIR"/*"$FILE_SUFFIX"
   # 返回执行结果
   if [ $? -eq 0 ]; then
       echo "操作成功：$TARGET_DIR下所有$FILE_SUFFIX后缀文件的属主、权限已按业务规则配置完成"
       exit 0
   else
       echo "错误：权限修正操作执行失败，请检查目录权限或规则配置"
       exit 1
   fi
   

内容的提问来源于stack exchange，提问作者Merik