如何利用Sudo的Digest摘要功能保障脚本执行前的完整性-安全-PHP中文网

sudo本身无digest摘要功能，它不提供文件哈希计算或完整性校验；digest（如sha256sum）是独立工具，可与sudo组合实现脚本执行前的完整性验证。

如何利用sudo的digest摘要功能保障脚本执行前的完整性

sudo 本身没有 Digest 摘要功能，它不提供文件哈希计算、签名验证或完整性校验能力。你提到的“Sudo 的 Digest 摘要功能”是一个常见误解——Digest（如 md5、sha256）是独立的系统工具（如 digest、sha256sum、md5sum），而 sudo 是权限控制工具，二者职责完全不同。

但你的核心诉求非常合理：在用 sudo 执行脚本前，确认脚本未被篡改。这是生产环境自动化运维中至关重要的安全实践。我们可以把“Digest”和“sudo”组合使用，构建一个简单、可靠、无需额外依赖的完整性保障流程。

下面给出三种实用、可落地的操作方式：

✅ 方法一：执行前手动比对摘要（适合人工触发场景）

适用于运维人员手动运行关键脚本前的快速自检。

先为脚本生成可信摘要（在安全环境、可信机器上操作）：
```
sha256sum /opt/scripts/deploy.sh > /opt/scripts/deploy.sh.sha256
```
运行脚本前，先校验：
```
sha256sum -c /opt/scripts/deploy.sh.sha256 && sudo ./deploy.sh
```
如果摘要不匹配，-c 会报错并退出，&& 后的 sudo 不会执行。

⚠️ 注意：摘要文件必须与脚本同目录且权限严格（如 600），防止被恶意替换。

✅ 方法二：脚本内嵌摘要校验（推荐用于自动化流程）

把校验逻辑写进脚本开头，实现“自证清白”。

#!/bin/bash
# deploy.sh —— 开头加入完整性检查
EXPECTED="a1b2c3d4e5f6...（此处填入你预先计算好的 sha256 值）"
ACTUAL=$(sha256sum "$0" | cut -d' ' -f1)

if [[ "$ACTUAL" != "$EXPECTED" ]]; then
  echo "❌ 脚本内容已被篡改！终止执行。"
  exit 1
fi

# 后续需 root 权限的操作（此时已确认脚本可信）
mkdir -p /var/log/myapp
cp config.yaml /etc/myapp/
systemctl restart myapp

运行时仍用 sudo ./deploy.sh，但校验发生在提权之后（或之前加 sudo -n true 验证权限可用性）。关键是：摘要值硬编码在脚本里，攻击者若改脚本，就必然破坏该值，校验失败。

✅ 方法三：结合 sudoers 配置 + 外部摘要工具（高安全要求场景）

适用于多用户共享环境，要求脚本只能由特定用户、在特定路径下、经摘要验证后执行。

步骤1：将脚本放在只读路径（如 /usr/local/bin/deploy.sh），权限设为 555（不可写）
步骤2：用 sha256sum 生成摘要并存为 /usr/local/etc/deploy.sh.sha256

步骤3：写一个轻量包装器（如 /usr/local/bin/verify-and-run）：

#!/bin/bash
SCRIPT="/usr/local/bin/deploy.sh"
SUMFILE="/usr/local/etc/deploy.sh.sha256"
sha256sum -c "$SUMFILE" --quiet "$SCRIPT" || { echo "校验失败"; exit 1; }
exec "$SCRIPT" "$@"