sudo本身无Digest摘要功能，需手动在脚本中硬编码SHA256自检值并验证；严格限定sudoers权限至绝对路径；校验关键命令真实路径并重置PATH；启用sudo日志与脚本执行记录。

sudo 本身没有 Digest 摘要功能，它不计算、不校验、也不绑定任何脚本的哈希值。所谓“利用 sudo 的 Digest 摘要功能”是常见误解——Digest（如 SHA256）属于独立工具（sha256sum），而 sudo 只负责权限控制。要保障你写的关闭端口的加固脚本（例如 close-ports.sh）不被篡改，必须靠你主动设计校验逻辑，并与 sudo 配合形成闭环。

脚本开头硬编码 SHA256 自检（最简可靠）

这是防篡改的第一道也是最关键的防线：脚本启动后第一件事就是验证自己是否还是原来那个文件。

• 在可信环境部署完成后，立即生成摘要：
  sha256sum /opt/bin/close-ports.sh | cut -d' ' -f1
  得到一串 64 位十六进制字符串，例如 b8e7a9f2...

• 把该值写入脚本首段（shebang 后）：

  #!/bin/bash
  EXPECTED="b8e7a9f2c0d1e4f5a6b7c8d9e0f1a2b3c4d5e6f7g8h9i0j1k2l3m4n5o6p7q8r9"
  ACTUAL=$(sha256sum "$0" | cut -d' ' -f1)
  [[ "$ACTUAL" == "$EXPECTED" ]] || { echo "⚠️ 关闭端口脚本完整性校验失败，已终止"; exit 1; }

• 设定脚本权限和属主：
  sudo chown root:root /opt/bin/close-ports.sh && sudo chmod 755 /opt/bin/close-ports.sh

sudoers 中只放行绝对路径，禁用所有绕过可能

授权不是给用户“运行任意脚本”，而是精确到“只允许以 root 身份运行这个特定文件”。

• 用 visudo 编辑 /etc/sudoers，添加：
  alice ALL=(root) NOPASSWD: /opt/bin/close-ports.sh

• 确保不出现以下危险写法：
  ❌ /opt/bin/*.sh
  ❌ /opt/bin/close*
  ❌ !/bin/sh（没写等于默认允许）
  ❌ 目录可写（如 /opt/bin 权限应为 drwxr-xr-x root root）

校验关键命令的真实路径，防止劫持

关闭端口常用 iptables、ufw、firewall-cmd 或 ss/lsof，攻击者可能替换这些二进制或污染 PATH。

• 开头定义并验证：

  IPTABLES=/sbin/iptables
  FIREWALL_CMD=/usr/bin/firewall-cmd
  SS=/usr/bin/ss
  
  command -v iptables | grep -q '^/sbin/iptables$' || { echo "❌ iptables 被劫持"; exit 1; }
  command -v firewall-cmd | grep -q '^/usr/bin/firewall-cmd$' || { echo "❌ firewall-cmd 被劫持"; exit 1; }

• 显式重置 PATH：
  export PATH="/usr/local/bin:/usr/bin:/bin:/sbin"

（可选）配合日志与审计增强可信度

• 启用 sudo 操作日志，在 /etc/sudoers 中添加：
  Defaults logfile="/var/log/sudo.log"
  并确保日志文件权限为 600、属主 root:root

• 在脚本末尾记录执行行为：
  logger "close-ports.sh executed by $(whoami) at $(date)"

不复杂但容易忽略。