Linux 用户权限降级实战：如何在程序运行中切换用户-linux运维-PHP中文网

程序运行中主动降级权限必须通过setuid()/setgid()等系统调用直接修改进程uid/gid，而非su/sudo；因后者仅能启动新进程，无法改变当前进程身份，而系统调用可在不fork的前提下永久降权并不可逆。

linux 用户权限降级实战：如何在程序运行中切换用户

程序运行中主动降级用户权限，不是靠 su 或 sudo 切换会话，而是通过系统调用直接修改进程的 UID/GID。这是安全加固的关键步骤——比如 Web 服务启动时以 root 绑定 80 端口，随后立刻丢弃 root 权限，转为普通用户继续运行。

为什么不能用 su 或 sudo 降级

su 和 sudo 是 shell 工具，用于启动新进程或新会话。它们无法改变当前正在运行的进程的身份。一个已以 root 启动的程序，若想在不重启、不 fork 新进程的前提下降低自身权限，必须调用内核提供的系统接口。

核心系统调用：setuid() 与 setgid()

Linux 提供 setuid() 和 setgid() 系统调用（及其变体），允许进程在运行时永久放弃高权限：

setuid(uid_t uid)：将当前进程的真实 UID（ruid）、有效 UID（euid）和保存的 UID（suid）全部设为指定值（需 root 权限才能降级后不可逆）
setgid(gid_t gid)：同理，用于组权限降级
更安全的做法是先调用 setgroups(0, NULL) 清空附加组列表，再 setgid/setuid，避免残留组权限

典型 C 语言降级示例

以下代码片段模拟一个 root 进程启动后切换为 nobody 用户：

Linux installer

先解析安全源，运行本地CLI安装、启动、卸载Linux桌面应用。用户请求时使用。

下载

// 假设已解析出 nobody 的 uid/gid（可通过 getpwnam("nobody") 获取）
if (setgroups(0, NULL) == -1) {
    perror("setgroups");
    exit(1);
}
if (setgid(nobody_gid) == -1) {
    perror("setgid");
    exit(1);
}
if (setuid(nobody_uid) == -1) {
    perror("setuid");
    exit(1);
}
// 此时进程已无 root 权限，且无法恢复

注意：一旦 setuid 成功降级，除非有 CAP_SETUIDS 能力，否则无法再提权——这是设计上的安全保证。