不能靠“过滤参数”防数据库凭证泄露，因为sudo不解析命令内部参数；应通过白名单限制可执行命令及参数、禁用交互式工具、启用noexec、使用加密凭证或密钥管理服务。
不能靠“过滤参数”来防数据库凭证泄露——sudo 本身不处理命令内部参数内容，它只控制“能否执行某条命令”，不解析或审查命令里传给程序的字符串（比如数据库密码、URL、配置路径）。所谓“参数过滤”，实际是配置 sudoers 时对可执行命令及其**允许的参数模式**做白名单限制，本质是防止用户借高危命令读取敏感文件或启动交互式工具，从而间接保护凭证。
明确限制能执行的命令和参数范围
很多数据库凭证藏在配置文件（如 /etc/my.cnf、/opt/app/config.yaml）或环境变量中。如果用户能用 sudo 运行 cat、grep、less 或 python，就可能直接提取凭证。必须禁止泛化调用：
- ❌ 错误写法：
alice ALL=(root) /bin/cat *—— 允许读任意文件，包括/etc/my.cnf - ✅ 正确做法：只允许可信日志或状态文件，例如
Cmnd_Alias SAFE_READ = /bin/cat /var/log/mysql/error.log, /bin/cat /proc/*/environ 2>/dev/null
再授权：alice ALL=(root) SAFE_READ - ⚠️ 注意：
/proc/*/environ虽可查进程环境，但需配合2>/dev/null屏蔽无权访问的报错，避免暴露路径结构
禁用交互式工具与解释器
像 vim、python、perl、bash 这类命令，哪怕加了参数，也能绕过参数限制启动子shell或读取任意文件：
- 禁止全部解释器：
Defaults env_delete += "PATH SHELL PYTHONPATH"+ 在 sudoers 中显式拒绝：alice ALL=(root) !/usr/bin/python*, !/usr/bin/perl*, !/usr/bin/bash, !/usr/bin/sh - 若业务真需 python 执行特定脚本，只放行带绝对路径和固定参数的调用：
/usr/local/bin/db-check.py --health，且脚本本身应由 root 所有、权限为600 - 不用
less查敏感文件；改用sudo cat 文件 | grep -E 'user|password|host'这类管道组合，避免进入交互模式
用 noexec 和安全路径切断逃逸链
即使用户被允许运行某个命令，也可通过系统级机制阻止其加载恶意库或执行子进程：
- 启用
noexec标志（需内核和 sudo 支持）：alice ALL=(root) NOEXEC: /usr/bin/mysql—— 阻止 mysql 内部执行system()或加载 .so 插件 - 强制干净执行路径：
Defaults secure_path="/usr/local/bin:/usr/bin:/bin"，避免用户通过自定义 PATH 注入同名恶意二进制 - 清除危险环境变量：
Defaults env_delete += "LD_PRELOAD LD_LIBRARY_PATH LESSOPEN"，防止利用less或vi的扩展机制加载恶意代码
把凭证从文件移到更安全的位置
最根本的防护不是靠 sudo 拦截，而是让凭证本身不以明文形式出现在可被 cat 或 grep 读取的地方：
- 数据库客户端支持从
~/.mylogin.cnf（MySQL 5.6+）读取加密凭证，该文件权限应为600且仅限 owner 访问 - 使用 secret manager 工具（如 HashiCorp Vault、AWS Secrets Manager），应用通过 API 获取临时 token，不落地存储
- 若必须存配置文件，设为 root-only 可读，并用
chattr +a锁定日志类目录，用chattr +i锁定关键配置（注意 +i 后连 root 也无法修改，慎用）
