PHP script uitvoeren als andere gebruiker

[Xune]

Hallo,

voor een systeem dat we ontwikkelen moeten we een PHP script uitvoeren als een andere UNIX-gebruiker.

PHP draait op Apache via CGI en suPHP zodat de PHP scripts onder de desbetreffende user account draaien. Nu loggen de gebruikers in op één centrale site waar ze aanpassingen aan hun site kunnen doen. Deze worden dan door een cron in hun home folder toegepast; deze cron kan ook uitgevoerd worden via het webpanel.

Hier zit nu juist het probleem: hoe kan ik ervoor zorgen dat dit wordt uitgevoerd onder de juist user account? Ik heb al wat lopen prutsen met setuid wat niet veel opleverde en momenteel heb ik gewoon het script in de public_html root geplaatst zodat het via GET-aanroep correct wordt uitgevoerd.

Natuurlijk is dit geen ideale oplossing aangezien het hierdoor ook publiekelijk beschikbaar is voor de verkeerde mensen. Ik heb al lopen denken om een daemon te schrijven die de cron lokaal uitvoert als er een bepaald bericht naartoe wordt geschreven over TCP maar dit lijkt me overkill om m'n probleem op te lossen.

Heeft iemand andere ideeën?

[chielsen]

Uhm die cron draait toch gewoon onder de account van de user? Als die dan php uitvoert wordt dat ook onder die user uitgevoerd.

[ju5t]

Wat is er mis met een GET oproep? Er zijn genoeg applicaties die hier gebruik van maken. Je moet het alleen voldoende beveiligen, dat lijkt me toch geen probleem.

[vDong]

Hallo,
voor een systeem dat we ontwikkelen moeten we een PHP script uitvoeren als een andere UNIX-gebruiker.
<knip>
Heeft iemand andere ideeën?

Ik denk dat je sudo zoekt, je kan dan altijd onder de juiste user ids iets uitvoeren.

Laat me maar weten als je meer informatie nodig hebt.

[Xune]

Uhm die cron draait toch gewoon onder de account van de user? Als die dan php uitvoert wordt dat ook onder die user uitgevoerd.

Ja maar ik wil ook dat de gebruiker het script op het moment zelf kan uitvoeren, niet 1-5min later.

Wat is er mis met een GET oproep? Er zijn genoeg applicaties die hier gebruik van maken. Je moet het alleen voldoende beveiligen, dat lijkt me toch geen probleem.

Hoe zou je het beveiligen dan?

Ik denk dat je sudo zoekt, je kan dan altijd onder de juiste user ids iets uitvoeren.

Laat me maar weten als je meer informatie nodig hebt.

Hmm zo had ik het nog niet bekeken, ik had wel op het idee gekomen om via sudo root te worden en dan su uitvoeren met de correcte gebruiker maar dat houdt veiligheids risico's in.

[XBL]

sudo -u gebruiker -g groep is wat je zoekt. Zie ook de sudo manpage.

En een scriptje is natuurlijk te beveiligen met een wachtwoord of iets dergelijks (die je moet meesturen met elke get-request).