Linux系统不内置短信验证码机制，无法直接对sudo等操作强制短信验证；需通过封装敏感命令为受控脚本、调用外部短信API完成前置核验，并结合Redis存储验证码与过期时间，实现执行前身份再确认。
Linux系统本身不内置短信验证码机制，无法直接对sudo命令或关键服务操作强制弹出短信验证。但可以通过组合方案实现“执行敏感操作前需短信核验”的效果，核心思路是：将敏感操作封装为受控脚本，调用外部短信API完成身份再确认，验证通过后才真正执行。
一、搭建短信验证前置网关
这是最关键的中间层，避免每个脚本重复对接短信服务商。
- 使用Python或Shell编写一个通用验证服务（如/usr/local/bin/sms-verify），接收手机号、操作标识（如"restart-nginx"）、超时时间等参数
- 该服务调用腾讯云/阿里云短信API发送6位随机码，并将手机号+验证码+时间戳+哈希密钥存入本地临时文件或Redis（推荐Redis，支持自动过期）
- 返回唯一验证ID（如vfy_abc123），供后续校验使用
二、封装敏感操作为带验证的命令
不修改原始命令，而是提供替代入口，确保所有高危动作都经过拦截。
- 例如创建/usr/local/bin/sudo-safe，内部逻辑为：
→ 提示输入目标命令（如systemctl restart nginx）
→ 调用sms-verify获取验证ID并发送短信
→ 等待用户输入收到的6位码
→ 调用校验接口（比对Redis中存储的验证码与过期时间）
→ 验证通过后，以root权限执行原命令 - 可配合PAM模块（如pam_exec）在sudo调用前触发脚本，但需注意PAM不支持交互式输入，更适合静默校验token
三、配置短信服务基础项
实际可用的前提是短信通道就绪。
- 在云厂商控制台完成签名与模板审核（签名如【运维中心】，模板内容：“您的运维操作验证码：{1}，5分钟内有效。”）
- 在Linux服务器上配置API密钥（建议存于/etc/sms-config.json，权限设为600），包含SdkAppId、SecretId、SecretKey、TemplateId、SignName
- 测试发送脚本：curl -X POST "https://sms.tencentcloudapi.com" -d '{"PhoneNumberSet":["+8613800138000"],"TemplateParamSet":["123456"],"TemplateId":"12345"}'（需签名鉴权）
四、安全与体验优化要点
防止绕过、误用和体验割裂。
- 验证码必须绑定发起操作的IP与当前登录用户（whoami），同一手机号1小时内最多请求3次
- 验证通过后生成一次性token，有效期仅30秒，且只能使用一次（防重放）
- 日志记录每次验证请求、IP、手机号、命令摘要（脱敏处理），便于审计追溯
- 提供备用通道：如验证失败3次，可降级为要求输入预设的静态应急口令（存于加密文件）
