解释 `add_cap()` 和 `remove_cap()` 函数的源码，它们是如何动态管理用户权限的？ - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

各位观众，欢迎来到今天的 "权限管理之歌：add_cap() 和 remove_cap() 的秘密" 演唱会！我是你们今天的导游，人称 “代码界的段子手”，准备好一起深入 Linux 权限管理的世界了吗？

今天，我们不是单纯地看代码，而是要一起 "扒皮"，看看 add_cap() 和 remove_cap() 这两个函数，是如何在内核舞台上，像变魔术一样，给用户穿上或者脱掉权限的“隐形斗篷”。

开场：权限的“衣服” —— Capabilities

在经典的 Unix 权限模型里，要么你是 root (UID 0)，拥有至高无上的权力，要么你就只能乖乖听话，权限有限。这就像古代的皇帝和臣民，等级森严。但问题来了，有些程序，比如 ping，需要执行一些特权操作（发送 raw socket），但又不想让它拥有整个 root 权限。这时候，Capabilities 就闪亮登场了！

Capabilities 可以理解为把 root 的权力拆分成一个个小的“零件”，然后按需分配给不同的程序或者用户。就像把皇帝的权杖、玉玺、尚方宝剑等等分别发给不同的大臣，让他们在特定领域拥有特权，但又不会威胁到皇权本身。

第一乐章：add_cap() – 穿上特权的“隐形斗篷”

add_cap() 函数，顾名思义，就是用来给用户或进程“穿上”某个 Capability 的。它的功能就像裁缝，根据需求，量身定做一件带特定权限的“隐形斗篷”。

让我们先来看一下 add_cap() 的大致流程（简化版）：

检查参数： 确保输入的 Capability 类型和用户/进程 ID 是有效的。
获取目标进程的 Capabilities 结构： 找到要修改权限的进程，并获取其 Capabilities 数据结构。
设置 Capability： 在 Capabilities 数据结构中，将对应的 Capability 位设置为允许状态。
更新进程的权限： 将修改后的 Capabilities 结构应用到进程。

为了更直观，我们用一段伪代码来模拟这个过程：

// 伪代码：add_cap(pid_t pid, int cap)
function add_cap(pid_t pid, int cap) {
  // 1. 参数检查
  if (pid 无效 || cap 无效) {
    返回错误;
  }

  // 2. 获取进程的 Capabilities 结构
  capabilities = 获取进程(pid).capabilities;

  // 3. 设置 Capability
  capabilities.有效集 |= (1 << cap); // 设置有效位
  capabilities.允许集 |= (1 << cap); // 设置允许位
  capabilities.继承集 |= (1 << cap); // 设置继承位（可选）

  // 4. 更新进程权限
  设置进程(pid).capabilities = capabilities;

  返回成功;
}

重点解释：

有效集 (Effective Set): 表示进程当前是否正在使用这个 Capability。如果有效集里有某个 Capability，那么进程就可以使用它提供的特权。
允许集 (Permitted Set): 表示进程被允许拥有的 Capability 的集合。即使有效集里没有某个 Capability，只要它在允许集里，进程就可以通过一些系统调用（比如 capset()）来激活它。
继承集 (Inheritable Set): 表示进程创建的子进程可以继承的 Capability 的集合。如果父进程的继承集里有某个 Capability，那么子进程也可能拥有它（具体取决于 execve() 时的行为）。

实例演示：

假设我们要给进程 PID 为 1234 的进程添加 CAP_NET_ADMIN Capability (网络管理权限)。

#include <stdio.h>
#include <stdlib.h>
#include <sys/capability.h>
#include <unistd.h>
#include <errno.h>

int main() {
    pid_t pid = 1234; // 目标进程 PID
    cap_value_t cap_list[1];
    cap_t caps;

    // 1. 创建一个空 Capability 集合
    caps = cap_get_proc(); //获取当前进程的capability，如果需要修改其他进程，需要root权限
    if (caps == NULL) {
        perror("cap_get_proc failed");
        return 1;
    }

    // 2. 指定要添加的 Capability
    cap_list[0] = CAP_NET_ADMIN;

    // 3. 设置 Capability
    if (cap_set_flag(caps, CAP_EFFECTIVE, 1, cap_list, CAP_SET) != 0) {
        perror("cap_set_flag(CAP_EFFECTIVE) failed");
        cap_free(caps);
        return 1;
    }
    if (cap_set_flag(caps, CAP_PERMITTED, 1, cap_list, CAP_SET) != 0) {
        perror("cap_set_flag(CAP_PERMITTED) failed");
        cap_free(caps);
        return 1;
    }
    if (cap_set_flag(caps, CAP_INHERITABLE, 1, cap_list, CAP_SET) != 0) {
        perror("cap_set_flag(CAP_INHERITABLE) failed");
        cap_free(caps);
        return 1;
    }

    // 4. 应用修改后的 Capabilities
    if (cap_set_proc(caps) != 0) {
        perror("cap_set_proc failed");
        cap_free(caps);
        return 1;
    }

    cap_free(caps);

    printf("Successfully added CAP_NET_ADMIN to process %dn", getpid()); // 这里修改的是当前进程，因为cap_get_proc()获取的是当前进程
    return 0;
}

注意事项：

权限： add_cap() 通常需要 root 权限才能修改其他进程的 Capabilities。如果你想修改自己的进程的 Capabilities，那还好说。
安全风险： 滥用 Capabilities 会带来安全风险。过度赋予进程特权，可能会被恶意利用。

第二乐章：remove_cap() – 脱下特权的“隐形斗篷”

remove_cap() 函数，与 add_cap() 刚好相反，它是用来剥夺用户或进程的某个 Capability 的。就像把裁缝做好的“隐形斗篷”从用户身上脱下来，让他们回到普通人的状态。

remove_cap() 的流程也很简单：

检查参数： 验证输入的 Capability 类型和用户/进程 ID 是否有效。
获取目标进程的 Capabilities 结构： 找到要修改权限的进程，并获取其 Capabilities 数据结构。
清除 Capability： 在 Capabilities 数据结构中，将对应的 Capability 位设置为禁止状态。
更新进程的权限： 将修改后的 Capabilities 结构应用到进程。

伪代码如下：

// 伪代码：remove_cap(pid_t pid, int cap)
function remove_cap(pid_t pid, int cap) {
  // 1. 参数检查
  if (pid 无效 || cap 无效) {
    返回错误;
  }

  // 2. 获取进程的 Capabilities 结构
  capabilities = 获取进程(pid).capabilities;

  // 3. 清除 Capability
  capabilities.有效集 &= ~(1 << cap); // 清除有效位
  capabilities.允许集 &= ~(1 << cap); // 清除允许位
  capabilities.继承集 &= ~(1 << cap); // 清除继承位（可选）

  // 4. 更新进程权限
  设置进程(pid).capabilities = capabilities;

  返回成功;
}

实例演示：

假设我们要从进程 PID 为 1234 的进程中移除 CAP_NET_ADMIN Capability。

#include <stdio.h>
#include <stdlib.h>
#include <sys/capability.h>
#include <unistd.h>
#include <errno.h>

int main() {
    pid_t pid = 1234; // 目标进程 PID
    cap_value_t cap_list[1];
    cap_t caps;

    // 1. 创建一个空 Capability 集合
    caps = cap_get_proc(); //获取当前进程的capability，如果需要修改其他进程，需要root权限
    if (caps == NULL) {
        perror("cap_get_proc failed");
        return 1;
    }

    // 2. 指定要移除的 Capability
    cap_list[0] = CAP_NET_ADMIN;

    // 3. 清除 Capability
    if (cap_set_flag(caps, CAP_EFFECTIVE, 1, cap_list, CAP_CLEAR) != 0) {
        perror("cap_set_flag(CAP_EFFECTIVE) failed");
        cap_free(caps);
        return 1;
    }
    if (cap_set_flag(caps, CAP_PERMITTED, 1, cap_list, CAP_CLEAR) != 0) {
        perror("cap_set_flag(CAP_PERMITTED) failed");
        cap_free(caps);
        return 1;
    }
    if (cap_set_flag(caps, CAP_INHERITABLE, 1, cap_list, CAP_CLEAR) != 0) {
        perror("cap_set_flag(CAP_INHERITABLE) failed");
        cap_free(caps);
        return 1;
    }

    // 4. 应用修改后的 Capabilities
    if (cap_set_proc(caps) != 0) {
        perror("cap_set_proc failed");
        cap_free(caps);
        return 1;
    }

    cap_free(caps);

    printf("Successfully removed CAP_NET_ADMIN from process %dn", getpid()); // 这里修改的是当前进程，因为cap_get_proc()获取的是当前进程
    return 0;
}

注意事项：

权限： 和 add_cap() 一样，remove_cap() 也通常需要 root 权限才能修改其他进程的 Capabilities。
影响： 移除 Capability 可能会导致进程无法执行某些需要特权的操作。

第三乐章：动态管理用户权限

add_cap() 和 remove_cap() 的真正威力在于它们可以动态地管理用户权限。也就是说，我们可以在程序运行的时候，根据需要，随时给它添加或者移除 Capability，而不需要重启程序或者修改程序的可执行文件。

这种动态性带来了很多好处：

灵活性： 可以根据运行时的条件，灵活地调整进程的权限。
安全性： 可以只在需要的时候才赋予进程特权，避免长时间暴露在安全风险中。
可维护性： 可以更容易地管理和维护程序的权限。

应用场景：

容器化： Docker 等容器技术广泛使用 Capabilities 来限制容器内的进程权限，提高容器的安全性。
安全增强： 某些安全软件会动态地调整进程的 Capabilities，以防止恶意行为。
权限分离： 可以将一个程序拆分成多个模块，每个模块只拥有完成任务所需的最小权限。

表格总结：

功能	描述	权限要求	安全性
`add_cap()`	给用户或进程添加 Capability，赋予其特定的特权。	通常需要 root 权限	需谨慎使用，过度赋予特权会带来安全风险
`remove_cap()`	从用户或进程移除 Capability，剥夺其特定的特权。	通常需要 root 权限	降低安全风险，限制进程的行为
动态管理权限	在程序运行时，根据需要动态地添加或移除 Capability，提高了灵活性、安全性和可维护性。	通常需要 root 权限	需要仔细设计，避免权限提升漏洞

尾声：权限管理的艺术

add_cap() 和 remove_cap() 只是 Linux 权限管理体系中的两个小小的工具。但是，它们体现了一种重要的思想：精细化地控制权限，只赋予程序完成任务所需的最小权限。这是一种安全原则，也是一种编程的艺术。

希望今天的 "演唱会" 能让你对 add_cap() 和 remove_cap() 有更深入的了解。记住，权限管理是一门大学问，需要不断学习和实践。祝大家在代码的世界里，都能成为权限管理的艺术家！

友情提示： 在实际使用 Capabilities 时，一定要仔细阅读相关文档，并充分考虑安全风险。不要轻易赋予进程过多的特权，以免造成不必要的损失。编码愉快！

发表回复 取消回复

发表回复取消回复