Crontab 执行脚本的环境隔离与资源上限限制-linux运维-PHP中文网

crontab本身不提供环境隔离和资源限制，需通过三层防护实现安全可控：显式声明环境变量（如shell、path）、用systemd服务单元硬限资源并隔离上下文、适配selinux策略与文件权限。

crontab 执行脚本的环境隔离与资源上限限制

Crontab 本身不提供环境隔离和资源限制能力，它只是按时间触发命令的调度器。真正起作用的是 shell 启动过程、系统级机制和外部工具。在 CentOS 8 或现代 Linux 系统中，要让定时任务安全、可控、可审计地运行，必须主动构建三层防护：环境变量控制、进程资源约束、执行上下文隔离。

明确 PATH 和 SHELL 避免命令找不到
crond 启动脚本时默认使用极简环境，PATH 通常只含 /usr/bin:/bin，不会加载用户 .bashrc 或 ~/.profile。

在 crontab 条目开头显式声明环境变量最可靠：

SHELL=/bin/bash
PATH=/usr/local/bin:/usr/bin:/bin:/usr/local/sbin:/usr/sbin:/sbin
0 2 * * * /opt/scripts/backup.sh >> /var/log/backup.log 2>&1

或者直接在脚本第一行写 #!/bin/bash，并在脚本内用绝对路径调用关键命令（如 /usr/bin/python3、/usr/bin/mysql），避免依赖 PATH。
不推荐在脚本里 source ~/.bashrc —— crond 不读取交互式 shell 配置，且 root 用户的 .bashrc 可能不存在或权限受限。

用 systemd 服务单元实现资源硬限与完整隔离
当脚本可能失控（如内存泄漏、无限循环、卡死外部接口），仅靠 timeout 不够。systemd 提供真正的沙箱级控制：

创建 /etc/systemd/system/backup.service：

[Unit]
Description=Daily DB Backup
After=network.target

[Service]
Type=oneshot
User=backupuser
WorkingDirectory=/opt/scripts
ExecStart=/opt/scripts/backup.sh
TimeoutSec=600
MemoryMax=500M
CPUQuota=50%
Restart=on-failure
RestartSec=30
StandardOutput=journal
StandardError=journal

[Install]
WantedBy=multi-user.target

再配一个 timer：/etc/systemd/system/backup.timer：

[Unit]
Description=Run daily backup at 02:00

[Timer]
OnCalendar=*-*-* 02:00:00
Persistent=true

[Install]
WantedBy=timers.target

启用：sudo systemctl daemon-reload && sudo systemctl enable --now backup.timer
这样不仅限 CPU/内存，还自动切换用户、设置工作目录、捕获日志到 journal、失败自动重试，且不受 crond 环境影响。

SELinux 上下文与文件访问权限必须显式适配
CentOS 8 默认启用 SELinux，crond 按 system_u:system_r:crond_t:s0 上下文运行，无法随意读写用户目录或网络相关资源。

若脚本需访问 /home/app/config.yml，先确认 SELinux 允许：

sudo semanage fcontext -a -t crond_exec_t "/opt/scripts(/.*)?"
sudo restorecon -Rv /opt/scripts

若脚本调用 curl 或 ssh，可能触发 connectto 或 name_connect 拒绝，用 ausearch -m avc -ts recent | audit2why 查原因，再用 setsebool -P cron_can_network 1 临时放开（生产环境建议用 audit2allow 生成专用策略）。
普通用户 crontab 更受限：/var/spool/cron/username 文件必须是 system_u:object_r:crontab_t:s0，手动复制或编辑后要用 restorecon 修复，否则 crond 直接跳过该用户任务。

用 runuser 或 su 切换上下文执行（轻量替代方案）
若暂不迁移到 systemd，又需模拟用户环境，可用 runuser 包装命令：

0 2 * * * runuser -l appuser -c '/opt/scripts/sync.sh' >> /var/log/sync.log 2>&1

它会加载目标用户的 shell 环境（包括 PATH、HOME、umask），但不提供资源限制。注意 -l 参数必须加，否则不读取 login shell 配置；且 appuser 的 shell 必须在 /etc/shells 中注册（否则报错 failed to exec shell）。