如何阻止R语言用户调用shell命令？针对RStudio Server在线环境

针对你提到的用户在RStudio Server中执行system('cat /etc/passwd')这类恶意shell命令的安全问题，这里有几个实用的方案，效果类似PHP的disable_functions配置：

1. 全局重定义危险函数（最简单直接） #

你可以通过R的全局配置文件，把system()、system2()、shell()这类能调用shell的函数重定义为报错函数，让用户无法使用。

具体操作：

• 编辑R的全局配置文件/etc/R/Rprofile.site（如果没有就创建一个）
• 在文件末尾添加以下代码：

# 屏蔽所有调用shell的函数
system <- function(...) stop("Shell commands are disabled for security reasons.", call. = FALSE)
system2 <- function(...) stop("Shell commands are disabled for security reasons.", call. = FALSE)
shell <- function(...) stop("Shell commands are disabled for security reasons.", call. = FALSE)
pipe <- function(...) stop("Pipe operations are disabled for security reasons.", call. = FALSE)

• 保存后重启RStudio Server，所有用户启动R会话时都会加载这个配置，调用这些函数就会直接报错。

注意：这种方法能挡住大部分常规调用，但如果用户有足够能力去修改环境变量或者加载自定义配置，可能有绕开的风险，建议结合其他方法使用。

2. 启用RStudio Server的沙箱模式 #

RStudio Server本身提供了沙箱功能，可以限制R会话的系统权限，阻止其访问宿主机的敏感资源。

操作步骤：

• 编辑RStudio Server的配置文件/etc/rstudio/rserver.conf
• 添加或修改以下配置项：

# 启用沙箱模式
r-sandbox-enabled=1
# 指定沙箱的根目录（可选，默认会创建临时隔离目录）
r-sandbox-root=/var/rstudio-sandbox

• 保存后重启RStudio Server：sudo systemctl restart rstudio-server

沙箱模式会把每个用户的R会话隔离在一个受限环境里，即使执行shell命令，也无法访问宿主机的/etc/passwd等敏感文件，大大降低安全风险。

3. 用容器技术彻底隔离（最安全） #

如果要做到完全隔离，推荐用Docker这类容器工具来部署每个用户的RStudio环境：

• 基于官方的rocker/rstudio镜像，创建自定义镜像，移除不必要的系统工具
• 每个用户分配一个独立的容器，容器内的R环境与宿主机完全隔离
• 可以通过Docker的权限控制，限制容器对宿主机文件系统的访问（比如只挂载特定目录，禁止访问根目录）

这种方式从根本上切断了用户访问宿主机敏感资源的路径，是最安全的方案，但部署和维护成本会高一些。

4. 操作系统层面的权限限制 #

你还可以通过SELinux或AppArmor这类Linux安全模块，限制R进程的操作权限：

• 配置SELinux规则，禁止R进程读取/etc/passwd、/etc/shadow等敏感文件
• 或者用AppArmor给R进程创建一个profile，只允许它访问必要的目录和文件

这种方法需要一定的Linux安全配置经验，但能从底层阻止恶意操作，和前面的方法结合使用效果更好。

内容的提问来源于stack exchange，提问作者Rodrigo Hjort