如何防止 sudo 用户看到其他 sudo 用户的数据？

我没有直接回答你的问题，因为你描述的是一个XY 问题。这是您潜在的实际问题：

每个人都想要 sudo 用户权限，因为他们声称他们需要在工作期间安装 python 包

问题是这样的：没有人需要使用sudo来安装 Python 包。事实上，这是非常不鼓励的。特别是如果您有多个人使用同一个系统，您无法阻止任何人弄乱其他人可能需要的系统级软件包。如果存在版本冲突、某些包中的重大更改等怎么办？

解决方案 1 — 用户级安装

真正的解决方案是使用 Python 包的用户级安装。也就是说，代替sudo pip install …，做：

pip install --user pandas

这会将包安装到相应用户的主目录中，并单独保留系统包库。

sudo我怎么强调都不为过：使用with没有任何好处pip。

解决方案 2 — Pipenv 或诗歌

一个更好的解决方案是使用pipenvor poetry，它为包创建一个虚拟环境。

对于不同的项目，包和版本甚至可能不同——如果你需要一个包在给定版本上停留一段时间，这一点尤其重要（例如pandas，因更改其 API 而臭名昭著；scipy前一段时间有一些重大更改，...） .

我会推荐 Pipenv，但截至 2020 年，维护工作相当缺乏，而且很长一段时间都没有发布任何版本。

要使用 Poetry，只需在每个用户级别安装它：

pip install --user poetry

然后为当前项目初始化一个新环境：

cd /path/to/project
poetry install pandas

这将创建一个新的 Poetry 配置文件，指定当前项目的要求。运行poetry以了解更多信息或阅读文档。

解决方案 3 —pyenv

解决这个问题的最好方法是让用户安装他们自己的 Python 版本。您可以使用pyenv创建整个 Python 发行版的用户级安装。这样，用户可以使用他们的 Pipenv 项目初始化时使用的任何 Python 版本，例如在他们想要升级到 3.8 之前在 3.7 停留一段时间。

如果您不想通过执行 Python 的系统级次要升级来破坏每个人的包，这将特别好，如果需要的话。

底线：如果你不需要，不要给普通用户 sudo 访问权限。让他们使用自己的用户空间来安装 Python 和/或 Python 包。

警告：某些 Python 包可能需要特定的库才能成功构建。您无法真正避免这些库的系统级安装，但在这种极少数情况下，管理员可能愿意使用sudo apt install …所需的任何库。

据推测，Python 开发人员正在远程连接到这台机器，ssh而不是直接在控制台上登录。

在这种情况下，他们的私钥根本不应该在共享机器上，正是因为这个原因。相反，它们应该在本地机器上运行并使用（或在中为该主机设置）ssh-agent连接到共享机器，并将私钥仅保留在本地机器上。使用和代理转发将导致远程（共享）机器将身份验证请求（例如来自 github）安全地转发回用户的本地机器上，在那里执行 RSA 身份验证，而不必向任何人透露用户的私钥主机而不是他们的本地机器。ssh -AForwardAgent yes~/.ssh/configssh-agentssh-agent

（如果本地机器运行的是 Windows 而不是 linux/unix 变体，那么 Windows ssh 客户端仍应以某种方式提供 ssh 代理转发，但我不知道如何访问它。有关详细信息，请查看您的文档。）

解决方案是授予 python 开发人员仅 sudo 他们实际需要的命令的权限。允许的命令是完全指定的，包括参数，并且可以使用通配符。

以下是来自 Unix Stackexchange 帖子
How to remote execute ssh command a sudo command without password的回答。

您可以告诉 sudo 跳过某些命令的密码。

例如在/etc/sudoers

archemar  ALL = (www-data) NOPASSWD: /bin/rm -rf /var/www/log/upload.*

这让我可以使用

sudo -u www-data /bin/rm -rf /var/www/log/upload.*

作为没有密码的archemar。

注意

sudo -u www-data rm -rf /var/www/log/upload.*

rm与/bin/rm. _

请务必/etc/sudoers使用visudo命令进行编辑。

达到高级水平后，您可能希望 sudo在/etc/sudoers.d.