从 sudo su 运行命令

可能sudoers远程端的文件指定了您可以运行的确切命令，它是su - serviceAccount. 一个或多个附加选项（如-c）将使命令不合格。任何解决方案都应使用确切的su - serviceAccount命令。

有一种方法可以解决这个问题，但它并不完美。首先在服务器上运行它：

echo whoami | sudo su - serviceAccount

（尽管有重定向，但如果sudo没有，-S将使用终端询问您的密码（如果需要））。

为了使方法更通用，在服务器上创建一个脚本：

#!/bin/sh
printf '%s ' "$@" | sudo su - serviceAccount

另存为su-ser，并使其可执行。现在你可以测试这些：

./su-ser whoami
./su-ser 'whoami; whoami'
./su-ser ls -l
./su-ser 'ls -l'

请注意，这些引号不会传播到su. 每次printf从脚本获取的参数构建命令时，它作为字符串传递，然后由最终 shell解析，包括单词拆分、通配符等。这意味着所有这些

./su-ser echo 1 2 3
./su-ser echo "1 2             3"
./su-ser "echo 1 2             3"

将打印1 2 3。要传递带引号的字符串，您需要引用引号，例如：

./su-ser 'echo "1 2             3"'

下一步是从本地计算机触发此远程脚本：

ssh -t [email protected] '"/path/to/su-ser" whoami'

您需要-t以防万一sudo要求输入密码。从ssh你的问题正文中的命令我可以告诉你可能理解这一点。

注意ssh还构建了一个命令字符串。即使/path/to/su-ser包含空格，上面的引用也会起作用。另一方面，如果路径没有空格（也没有 , 之类的字符;）*，则完全不加引号ssh … /path/to/su-ser whoami也可以。

在这一点上，正确引用并不是一件容易的事。让我们分析一下命令发生了什么。

0. 首先，您的本地 shell 会解析该字符串。它使用最外面的引号（如果有的话）来正确解析它。
1. ssh将其参数作为数组获取。shell 用完的引号还没有走到这一步。
2. ssh决定应该将哪些参数传递给远程端并构建一个字符串（以类似于printf我们的远程脚本的方式）。
3. 然后，该字符串由远程 shell（sshd在服务器上生成的 shell）解析。远程 shell 使用（现在）最外层的引号（如果有的话）来正确解析它。
4. su-ser将其参数作为数组获取。远程 shell 用完的引号还没有走到这一步。
5. su-ser建立一个字符串。
6. 然后这个字符串被另一个 shell 解析（su在服务器上生成）。shell 使用（现在）最外层的引号（如果有的话）来正确解析它。
7. 您传递的命令将其参数作为数组获取。最后一个 shell 用完的引号还没有走到这一步。

这意味着有时您需要三个级别的报价才能获得正确的结果。一个简单的本地命令，例如

echo "1 2             3"

成为

ssh -t [email protected] "'/path/to/su-ser' 'echo \"1 2             3\"'"

在未转义的双引号被本地 shell 剥离的地方，单引号被远程 shell 剥离；最后，转义的双引号（实际上一旦本地 shell 剥离未转义的双引号就变成未转义的）告诉生成的 shell su，具有多个空格的字符串是echo. 这样输出是

1 2             3

另一个问题是远程脚本将命令传递给最终 shell 的标准输入，因此您不能轻易将其标准输入用于其他目的。例如cat; whoami（尝试一下）应该打印回您键入的任何行（以Ctrl+终止D），然后是whoami. 但是，如果您在服务器上运行它：

./su-ser 'cat; whoami'

cat将立即终止。这应该有效：

./su-ser 'cat /dev/tty; whoami'

（同样，使用Ctrl+D终止cat）。现在比较一下这个行为：

./su-ser '
whoami
whoami
whoami
'

对此：

./su-ser '
whoami
cat
whoami
'

相同的流提供cat给 shell；这不是一件好事。为实际命令和真正的标准输入建立单独的通道可能并不容易，因为sudo默认情况下会关闭额外的文件描述符并设置一个新的、最小的环境。我想使用临时文件/fifos 的装置会起作用，但这太毛茸茸了，我什至不会尝试。

所以脚本对你来说可能不够，也可能不够；这取决于您需要运行的命令。现在您知道了它的一些局限性。祝你好运。