Debian中copidar的权限管理策略

Debian 中 Copidar 的权限管理策略

一 身份与运行账户

• 为 Copidar 创建专用的系统用户与用户组（禁止以 root 直接运行），遵循最小权限原则。示例：sudo adduser --system --group --shell /usr/sbin/nologin --home /var/lib/copidar copidar。随后将程序目录与数据目录的所有权赋予该用户：sudo chown -R copidar:copidar /opt/copidar /var/lib/copidar /var/log/copidar。这样可将潜在漏洞的影响范围限制在专用账户内，避免横向提权。

二 文件与目录权限

• 可执行文件与脚本：建议设置为仅所有者可读写执行，组与其他只读执行，例如：sudo chmod 755 /usr/local/bin/copidar。
• 配置与数据目录：配置多为 JSON，建议仅所有者读写，组与其他只读：sudo chmod 640 /etc/copidar.json；数据目录（如 /var/lib/copidar）建议 750，确保仅服务账户与同组可访问：sudo chmod 750 /var/lib/copidar && sudo chown -R copidar:copidar /var/lib/copidar。
• 日志目录与文件：日志目录 750、日志文件 640，属主属组均为 copidar，防止其他用户写入或窥探：sudo chown -R copidar:copidar /var/log/copidar && sudo chmod 750 /var/log/copidar。
• 临时与缓存目录：如应用使用 /tmp 或自定义缓存目录，确保仅服务账户可写，避免被其他用户污染或滥用。

三 服务单元与最小权限配置

• 使用 systemd 管理时，在单元文件中显式声明运行账户与最小权限：创建 /etc/systemd/system/copidar.service，关键字段示例：User=copidar、Group=copidar、ExecStart=/usr/local/bin/copidar --config /etc/copidar.json、Restart=always、Environment=NODE_ENV=production；随后执行 sudo systemctl daemon-reload、sudo systemctl enable --now copidar。若程序无需特权端口，避免使用 root 或 CAP_NET_BIND_SERVICE；如需绑定 80/443，建议通过反向代理（如 Nginx/Apache）或端口转发实现，保持服务账户的非特权运行。

四 配置与日志文件的访问控制

• 配置文件位置与权限：用户级配置通常为 ~/.copidar.json，系统级为 /etc/copidar.json；系统级配置建议 640（root:copidar），用户级建议 600（仅属主可读写），防止敏感信息泄露。示例：sudo chmod 640 /etc/copidar.json && sudo chown root:copidar /etc/copidar.json；chmod 600 ~/.copidar.json。
• 日志文件权限：确保日志目录与日志文件对服务账户可写，其他用户不可写：sudo touch /var/log/copidar/copidar.log && sudo chown copidar:copidar /var/log/copidar/copidar.log && sudo chmod 640 /var/log/copidar/copidar.log。出现“Permission denied”写入日志或读取配置时，应优先检查属主、属组与权限位是否匹配上述原则。

五 网络访问控制与最小暴露面

• 防火墙仅放行必要端口与来源：例如仅允许管理网段访问 API 端口（如 8080/443），使用 UFW：sudo ufw allow from 192.168.1.0/24 to any port 8080 proto tcp；如需公网访问，建议前置反向代理并启用 TLS。
• 服务间通信尽量使用本地回环或 Unix 域套接字，并在代理或防火墙层限制来源地址与端口，减少攻击面。