Python Заметки: “В прошлый раз был пример с понижением привелегий процесса. Проблема в…”

В прошлый раз был пример с понижением привелегий процесса. Проблема в том, что обратно поднять привилегии нельзя.
Чтобы не потерять уровень доступа текущего процесса, нужно выполнять понижение в дочернем процессе. Для этого можно использовать os.fork().

# example.py
from pathlib import Path
import os
import sys
import pwd

def example(username):
    # получаем pwd юзера по имени
    try:
        pw_record = pwd.getpwnam(username)
    except KeyError:
        raise Exception(f"User {username} not found")
        return
    # создаем форк процесса
    pid = os.fork()
    if pid == 0:
        # если мы в дочернем процессе - сбрасываем привилегии
        os.setgid(pw_record.pw_gid)
        os.setuid(pw_record.pw_uid)
        # создаем файл от имени другого юзера
        Path('user-file.txt').touch()
        sys.exit(0)
    else:
        # родительский процесс, создаем файл от имени исходного юзера
        Path('root-file.txt').touch()
        os.waitpid(pid, 0)

example('paul')
# проверяем владельца файлов
print('user-file.txt', Path('user-file.txt').owner())
print('root-file.txt', Path('root-file.txt').owner())

Теперь запустите скрипт от root. У файлов будут разные владельцы.

~$ sudo python example.py
user-file.txt paul
root-file.txt root

PS. В дочернем процессе os.fork() вернёт 0, чтобы можно было понять в каком процессе продолжает исполняться код. В родительском это будет реальный PID. Это написано в документации.

# tricks