Манипуляции с файловой системой

Иногда возникает необходимость выполнять операции над файлами и каталогами, принадлежащими другим (потенциально недоверенным) пользователям. Например, системный администратор может удалить домашний каталог пользователя, или менеджер пакетов может обновить файл в каталоге, который принадлежит пользователю, специфичному для приложения. Это отличается от доступа к файловой системе от имени конкретного пользователя; см. Доступ к файловой системе от имени другого пользователя.

Доступ к файлам через границы доверия сопряжён с несколькими проблемами, особенно если обходится всё дерево каталогов:

Файлы всегда следует создавать с флагами O_CREAT и O_EXCL, чтобы создание файла завершалось ошибкой, если он уже существует. Это защищает от неожиданного появления имён файлов, либо из-за создания нового файла, либо из-за создания жёсткой ссылки на существующий файл. В многопоточных программах вместо манипулирования umask создавайте файлы с режимом 000, если это возможно, и корректируйте его позже с помощью fchmod.

Чтобы избежать проблем, связанных с символическими ссылками и реструктуризацией дерева каталогов, необходимо использовать варианты системных вызовов с «at» (то есть функции, такие как openat, fchownat, fchmodat и unlinkat, вместе с O_NOFOLLOW или AT_SYMLINK_NOFOLLOW). Имена путей, передаваемые этим функциям, должны содержать только один компонент (то есть без косой черты). При спуске по дереву дескрипторы родительских каталогов должны оставаться открытыми. Отсутствующую функцию opendirat можно эмулировать с помощью openat (с флагом O_DIRECTORY, чтобы избежать открытия специальных файлов с побочными эффектами), после чего следует использовать fdopendir.

Если функции с «at» недоступны, их можно эмулировать, изменяя текущий каталог. (Очевидно, это работает только в том случае, если процесс не является многопоточным.) Для изменения текущего каталога необходимо использовать fchdir, а дескрипторы родительских каталогов должны оставаться открытыми, как и в подходе с использованием «at». chdir("…​") небезопасен, поскольку может выйти за пределы предполагаемого дерева каталогов.

Эта эмуляция функций с «at» в настоящее время требуется при работе с расширенными атрибутами. В этом случае можно использовать функцию lsetxattr с относительным путём, состоящим из одного компонента. Это также относится к контекстам SELinux и функции lsetfilecon.

В настоящее время невозможно избежать открытия специальных файлов и изменений файлов с жёсткими ссылками, если каталог, содержащий их, принадлежит недоверенному пользователю. (Узлы устройств могут иметь жёсткие ссылки, как и обычные файлы.) fchmodat и fchownat влияют на файлы, счётчик ссылок которых больше единицы. Но открытие файлов, проверка с помощью fstat того, что счётчик ссылок равен единице, и использование fchmod и fchown на дескрипторе файла могут иметь нежелательные побочные эффекты из-за пункта 2 выше. Поэтому при создании каталогов важно изменять владельца и права доступа только после того, как каталог полностью создан. До этого момента имена файлов стабильны, и невозможно добавить файлы с неожиданными жёсткими ссылками.

Аналогично, при простом чтении каталога, принадлежащего недоверенному пользователю, в настоящее время невозможно надёжно избежать открытия специальных файлов.

Не существует обходного пути для нестабильности списка файлов, возвращаемого readdir. Одновременная модификация каталога может привести к тому, что будет возвращён список файлов, которых на самом деле никогда не существовало на диске.

Жёсткие и символические ссылки можно безопасно удалять с помощью unlinkat без дополнительных проверок, поскольку удаление затрагивает только имя в обрабатываемом дереве каталогов.

Этот раздел посвящён доступу к файловой системе от имени конкретного пользователя. Это отличается от доступа к файлам и каталогам, принадлежащим другому, потенциально недоверенному пользователю; см. Доступ к файловой системе от имени другого пользователя.

Один из подходов — создать дочерний процесс, который работает под целевыми идентификаторами пользователя и группы (как эффективными, так и реальными). Обратите внимание, что этот дочерний процесс может блокироваться бесконечно, даже при обработке только обычных файлов. Например, специальная файловая система FUSE может вызвать зависание процесса в непрерываемом сне внутри системного вызова stat.

Существующий процесс может изменить свой идентификатор пользователя и группы, используя setfsuid и setfsgid. (Эти функции предпочтительнее seteuid и setegid, поскольку они не позволяют пользователю, от имени которого выполняется процесс, отправлять сигналы процессу.) Эти функции не являются потокобезопасными. В многопоточных процессах эти операции должны выполняться в однопоточном дочернем процессе. Также может возникнуть неожиданная блокировка.

Не рекомендуется пытаться перереализовывать проверки прав доступа ядра в пользовательском пространстве, поскольку требуемые проверки сложны. Также очень трудно избежать состояний гонки при разрешении имён путей.

По историческим причинам существуют константы препроцессора, такие как PATH_MAX, NAME_MAX. Однако в большинстве систем длина канонических имён путей (абсолютных имён путей со всеми разрешёнными символическими ссылками, возвращаемых realpath или canonicalize_file_name) может превышать PATH_MAX байт, а отдельные компоненты имён файлов могут быть длиннее NAME_MAX. Это также справедливо для значений _PC_PATH_MAX и _PC_NAME_MAX, возвращаемых pathconf, и члена f_namemax структуры struct statvfs. Поэтому эти константы не следует использовать. Это также причина, по которой никогда не следует использовать readdir_r (вместо этого используйте readdir).

Не следует писать код, который предполагает наличие верхнего предела для количества подкаталогов в каталоге, количества обычных файлов в каталоге или счётчика ссылок инода.

Не все файловые системы поддерживают все возможности. Это сильно усложняет написание универсальных инструментов для копирования файлов. Например, операция копирования, предназначенная для сохранения прав доступа к файлам, обычно завершается ошибкой при копировании в файловую систему FAT.

Функции statvfs и fstatvfs позволяют программам проверять количество доступных блоков и инодов через члены f_bfree, f_bavail, f_ffree и f_favail структуры struct statvfs. Некоторые файловые системы возвращают вымышленные значения в полях f_ffree и f_favail, поэтому единственный надёжный способ узнать, есть ли в файловой системе место для файла — попытаться создать его. Поле f_bfree должно быть достаточно точным.