如何让www-data用户通过CGI脚本调用需root权限的Python脚本

我来分享几个安全可靠的方案，帮你解决www-data用户调用需要root权限的Python脚本的问题——毕竟直接给web服务用户root权限太危险了，得找平衡安全和需求的办法：

方案1：通过sudo限制特定命令的无密码执行 #

这是最常用也相对简单的方案，核心是让www-data仅能无密码运行你的目标Python脚本，而不是获得完整root权限。

1. 编辑sudoers配置（必须用visudo，避免语法错误锁死系统）：
   运行命令：

   visudo
   

   在文件末尾添加一行规则：

   www-data ALL=(ALL) NOPASSWD: /usr/bin/monitor/scripts/script.py
   

   这行的意思是：允许www-data用户在所有主机上，以任意用户身份（这里实际是root）无密码执行指定路径的脚本。

2. 加固脚本的权限，防止被篡改：
   确保只有root能修改这个脚本，避免恶意篡改带来风险：

   chown root:root /usr/bin/monitor/scripts/script.py
   chmod 700 /usr/bin/monitor/scripts/script.py
   

3. 在CGI脚本中调用：
   你的CGI脚本里需要用sudo来触发目标脚本，示例代码：

   import subprocess
   
   try:
       output = subprocess.check_output(["sudo", "/usr/bin/monitor/scripts/script.py"], stderr=subprocess.STDOUT, text=True)
       # 处理输出并返回给web请求
       print("Content-Type: text/plain\n")
       print(output)
   except subprocess.CalledProcessError as e:
       print("Content-Type: text/plain\n")
       print(f"Error executing script: {e.output}")
   

方案2：使用SetUID包装器（绕过Python脚本无法直接设SetUID的限制） #

Python解释器会忽略脚本文件的SetUID位，所以直接给script.py设SetUID没用。我们可以写一个简单的C语言包装程序，让它以root权限调用Python脚本。

1. 编写C包装器代码：
   创建一个名为script_wrapper.c的文件，内容如下：

   #include <stdio.h>
   #include <stdlib.h>
   #include <unistd.h>
   
   int main() {
       // 切换到root权限
       if (setuid(0) != 0) {
           perror("Failed to set UID to root");
           return 1;
       }
       // 调用目标Python脚本
       execl("/usr/bin/python3", "python3", "/usr/bin/monitor/scripts/script.py", NULL);
       // 如果execl执行失败才会走到这里
       perror("Failed to execute Python script");
       return 1;
   }
   

2. 编译并设置权限：
   编译生成可执行文件：

   gcc -o /usr/bin/monitor/scripts/script_wrapper script_wrapper.c
   

   设置SetUID位和权限，确保只有root能修改：

   chown root:root /usr/bin/monitor/scripts/script_wrapper
   chmod 4755 /usr/bin/monitor/scripts/script_wrapper
   

   这里的4就是SetUID位，意味着任何用户运行这个程序时，都会以文件所有者（root）的权限执行。

3. 在CGI脚本中调用：
   现在CGI脚本可以直接调用这个包装器，不需要sudo：

   import subprocess
   
   try:
       output = subprocess.check_output(["/usr/bin/monitor/scripts/script_wrapper"], stderr=subprocess.STDOUT, text=True)
       print("Content-Type: text/plain\n")
       print(output)
   except subprocess.CalledProcessError as e:
       print("Content-Type: text/plain\n")
       print(f"Error executing script: {e.output}")
   

方案3：系统服务+IPC（最高安全级方案，适合高风险场景） #

如果你的场景对安全要求极高，不想让www-data有任何直接调用root程序的权限，可以把script.py做成一个后台服务，以root身份运行，CGI脚本通过IPC（比如Unix套接字）和服务通信，请求执行任务并获取输出。

大致步骤： #

1. 编写systemd服务文件：创建/etc/systemd/system/monitor-script.service，让脚本以root身份作为后台服务运行，监听一个Unix套接字。
2. 修改script.py：添加套接字监听逻辑，接收CGI脚本的请求，执行相应操作后返回输出。
3. 配置CGI脚本：让它连接到这个套接字，发送请求并接收输出。

这个方案的优点是www-data完全没有root权限，所有敏感操作都由后台服务控制；缺点是实现复杂度更高，需要处理IPC的通信、并发和安全验证。

关键安全提醒 #

• 绝对不要给www-data开放完整的root权限（比如sudo ALL=(ALL) NOPASSWD: ALL），这会让服务器面临严重的被攻击风险。
• 始终确保目标脚本和相关包装器的权限是root:root且不可被其他用户修改，防止恶意篡改。
• 如果你的脚本接受参数，一定要在CGI脚本和目标脚本中做严格的输入校验，避免命令注入攻击。
• 定期检查相关文件的权限和内容，确保没有被篡改。

内容的提问来源于stack exchange，提问作者Alyss Flynn