sudo本身不提供digest摘要功能，也不校验脚本完整性；其核心职责是权限提升与执行控制，而非防篡改；确保脚本可信需手动集成外部摘要（如sha256）或gpg签名机制，并通过wrapper脚本强制前置校验、严格文件权限和最小化sudo授权来实现安全闭环。
sudo 本身不提供 Digest 摘要功能，也没有内置的“Digest 摘要验证”机制来校验脚本完整性。它不计算、不存储、也不比对脚本的哈希值。所谓“利用 sudo 的 Digest 摘要功能”是一种常见误解——sudo 不负责文件内容防篡改，它的核心职责是权限提升与执行控制，而非完整性校验。
真正起作用的是外部摘要工具 + sudo 权限配合
要确保被 sudo 执行的脚本未被篡改，需手动引入摘要机制，并将其逻辑嵌入执行流程中。关键不是 sudo 做了什么，而是你如何用它串联可信验证步骤：
- 预先为可信脚本生成强摘要（如 SHA256），保存在校验清单中（例如
/etc/sudo-scripts/sums.sha256） - 执行前用
sha256sum -c验证脚本是否匹配预期摘要；只有校验通过，才允许 sudo 运行 - 把校验和执行封装成一个受控 wrapper 脚本，并仅授予该 wrapper 的 sudo 权限（而非原始脚本），避免绕过校验
- 确保摘要文件本身权限严格（如
root:root 0400），防止被恶意覆盖
推荐的最小可行操作流程
假设你要安全执行 /usr/local/bin/deploy.sh：
- 生成摘要：
sha256sum /usr/local/bin/deploy.sh > /etc/sudo-scripts/deploy.sh.sha256 - 创建校验执行脚本
/usr/local/bin/run-verified-deploy：
set -e
SCRIPT="/usr/local/bin/deploy.sh"
SUMS="/etc/sudo-scripts/deploy.sh.sha256"
[[ -r "$SUMS" ]] || { echo "摘要文件不可读"; exit 1; }
sha256sum -c "$SUMS" --quiet || { echo "脚本已被篡改！"; exit 2; }
exec "$SCRIPT" "$@"
- 在
/etc/sudoers中授权：%admin ALL=(root) NOPASSWD: /usr/local/bin/run-verified-deploy - 以后执行：
sudo /usr/local/bin/run-verified-deploy --force
为什么不能只依赖 sudo 或只依赖摘要
单独使用 sudo 无法阻止以下风险：
- 脚本文件在 sudo 执行前已被替换（攻击者写入恶意版本，sudo 照常运行）
- 符号链接被劫持（例如
/usr/local/bin/deploy.sh指向攻击者控制的路径） - 摘要文件与脚本未绑定保护（若摘要也被改，校验就失效）
因此，必须将摘要校验作为 sudo 执行前的强制前置环节，并通过文件权限、路径固化、最小授权等手段加固整个链条。
进阶建议：结合签名替代纯摘要
SHA256 摘要可防意外损坏，但无法防恶意替换（攻击者可同步更新摘要）。更稳妥的方式是使用 GPG 签名：
- 用私钥签名脚本：
gpg --clearsign deploy.sh - 分发公钥给服务器，并在 wrapper 中调用
gpg --verify校验 - 签名验证通过后，再以 sudo 执行原始脚本
- 这样既确认内容未变，也确认来源可信
