Crontab本身不提供环境隔离和资源限制，需通过三层防护实现安全可控：显式声明环境变量（如SHELL、PATH）、用systemd服务单元硬限资源并隔离上下文、适配SELinux策略与文件权限。
Crontab 本身不提供环境隔离和资源限制能力，它只是按时间触发命令的调度器。真正起作用的是 shell 启动过程、系统级机制和外部工具。在 CentOS 8 或现代 Linux 系统中，要让定时任务安全、可控、可审计地运行，必须主动构建三层防护：环境变量控制、进程资源约束、执行上下文隔离。
明确 PATH 和 SHELL 避免命令找不到
crond 启动脚本时默认使用极简环境，PATH 通常只含 /usr/bin:/bin，不会加载用户 .bashrc 或 ~/.profile。
- 在 crontab 条目开头显式声明环境变量最可靠：
SHELL=/bin/bash PATH=/usr/local/bin:/usr/bin:/bin:/usr/local/sbin:/usr/sbin:/sbin 0 2 * * * /opt/scripts/backup.sh >> /var/log/backup.log 2>&1
- 或者直接在脚本第一行写
#!/bin/bash，并在脚本内用绝对路径调用关键命令（如/usr/bin/python3、/usr/bin/mysql），避免依赖 PATH。 - 不推荐在脚本里
source ~/.bashrc—— crond 不读取交互式 shell 配置，且 root 用户的.bashrc可能不存在或权限受限。
用 systemd 服务单元实现资源硬限与完整隔离
当脚本可能失控（如内存泄漏、无限循环、卡死外部接口），仅靠 timeout 不够。systemd 提供真正的沙箱级控制：
-
创建
/etc/systemd/system/backup.service：[Unit] Description=Daily DB Backup After=network.target [Service] Type=oneshot User=backupuser WorkingDirectory=/opt/scripts ExecStart=/opt/scripts/backup.sh TimeoutSec=600 MemoryMax=500M CPUQuota=50% Restart=on-failure RestartSec=30 StandardOutput=journal StandardError=journal [Install] WantedBy=multi-user.target
-
再配一个 timer：
/etc/systemd/system/backup.timer：[Unit] Description=Run daily backup at 02:00 [Timer] OnCalendar=*-*-* 02:00:00 Persistent=true [Install] WantedBy=timers.target
启用：
sudo systemctl daemon-reload && sudo systemctl enable --now backup.timer
这样不仅限 CPU/内存，还自动切换用户、设置工作目录、捕获日志到 journal、失败自动重试，且不受 crond 环境影响。
SELinux 上下文与文件访问权限必须显式适配
CentOS 8 默认启用 SELinux，crond 按 system_u:system_r:crond_t:s0 上下文运行，无法随意读写用户目录或网络相关资源。
- 若脚本需访问
/home/app/config.yml，先确认 SELinux 允许：sudo semanage fcontext -a -t crond_exec_t "/opt/scripts(/.*)?" sudo restorecon -Rv /opt/scripts
- 若脚本调用 curl 或 ssh，可能触发
connectto或name_connect拒绝，用ausearch -m avc -ts recent | audit2why查原因，再用setsebool -P cron_can_network 1临时放开（生产环境建议用audit2allow生成专用策略）。 - 普通用户 crontab 更受限：
/var/spool/cron/username文件必须是system_u:object_r:crontab_t:s0，手动复制或编辑后要用restorecon修复，否则 crond 直接跳过该用户任务。
用 runuser 或 su 切换上下文执行（轻量替代方案）
若暂不迁移到 systemd，又需模拟用户环境，可用 runuser 包装命令：
0 2 * * * runuser -l appuser -c '/opt/scripts/sync.sh' >> /var/log/sync.log 2>&1
它会加载目标用户的 shell 环境（包括 PATH、HOME、umask），但不提供资源限制。注意 -l 参数必须加，否则不读取 login shell 配置；且 appuser 的 shell 必须在 /etc/shells 中注册（否则报错 failed to exec shell）。
