允许用户仅运行具有root权限/特权的特定二进制文件

我可以看到两种方法：

1. 允许用户使用/sbin/iptables通过sudo没有任何限制（这是危险的东西，这意味着你信任的用户以某种方式），并与用户的权限运行该脚本。该脚本将在sudo每次/sbin/iptables需要时调用。假设脚本执行很快，因为最终将需要定期输入一些密码¹。

   • 优点：您不需要对脚本有任何信任。
   • 缺点：如前所述，允许用户/sbin/iptables不受限制地使用是危险的事情。

2. 允许用户仅通过调用脚本sudo。

   • 优点：的使用/sbin/iptables受脚本限制。
   • 缺点：脚本必须完美无缺。

关于您提到的问题：如果脚本是所有者拥有的root并且具有通常的权限：rwxr-xr-x，其他用户则不能修改它，他们只能执行它（最终通过sudo以获得更多特权）。

对于解决方案2，对于外壳程序脚本（与更健壮的二进制文件/程序相比），请当心环境变量和一些可以修改脚本执行的外部因素。检查您的sudo配置是否正确重置了每个潜在有害变量的定义。

—
^{1.实际上，sudo可以根据NOPASSWD需要进行配置。}