SpamAssassin为何需Shell权限？Ubuntu 16.04 LTS+Plesk下禁用是否安全

针对你在Ubuntu 16.04 LTS + Plesk环境下发现的debian-spamd:x:115:122::/var/lib/spamassassin:/bin/sh这条passwd记录，我来拆解你的两个问题：

1. SpamAssassin为何需要Shell访问权限？ #

其实默认安装的SpamAssassin根本不需要交互式Shell访问。这个/bin/sh的设置更多是Ubuntu包维护者的兼容考量：

• 早期版本的SpamAssassin可能附带一些依赖Shell执行的辅助脚本，但现代稳定版（包括适配Ubuntu 16.04的版本）已经移除了这类需求
• 预留Shell权限是为了兼容少数用户可能添加的自定义规则脚本、第三方插件——这类场景才需要调用Shell，但默认配置下完全用不到

2. 将其Shell设置为/usr/sbin/nologin是否安全？ #

非常安全，甚至是更推荐的做法，原因如下：

• SpamAssassin作为系统服务运行，它的正常工作只需要访问特定目录（比如/var/lib/spamassassin存储规则库、日志目录等），不需要用户登录Shell的能力
• 禁用交互式Shell可以直接缩小攻击面，避免攻击者通过该用户账户获取系统的交互式访问权限
• 在Plesk环境下，修改Shell不会影响SpamAssassin的服务运行——Plesk管理的邮件服务是通过系统启动脚本调用SpamAssassin的，和用户登录Shell无关

修改Shell的操作步骤 #

你可以直接用usermod命令修改：

sudo usermod -s /usr/sbin/nologin debian-spamd

修改完成后，验证一下是否生效：

cat /etc/passwd | grep debian-spamd

输出的最后一列应该变成/usr/sbin/nologin

额外注意事项 #

如果之后你需要添加依赖Shell的自定义规则或插件，再把Shell改回/bin/sh即可，但默认场景下保持/usr/sbin/nologin是更安全的选择。

内容的提问来源于stack exchange，提问作者koseduhemak