どうですか：sudoを使用し、環境、特に$ SUDO_USERを設定しないでください。

Question 1

ツールが要件を満たしていない場合は、ラッパースクリプトを使用してツールを改善できます。私はこのスクリプトを使います（noenv）ビルド環境をきれいに保ちます。次のように使用してください

sudo -u powerlessuser noenv /bin/processCmd

必要なことをします。（スクリプトは完全修飾パスになければなりません。そうでない場合は、コマンドにそのパスを指定する必要があります。）

スクリプト：

#!/bin/sh
# $Id: noenv,v 1.3 2014/05/10 22:43:32 tom Exp $
# trim the environment to minimal (PATH may still be long...)
env | sed -e 's/=.*//' -e '/^[  ].*/d' | \
while true
do
    read value
    if test -z "$value" ; then
        # honor assignments to variables in the parameter list
        while test $# != 0
        do
            case "x$1" in
            *=*)
                eval $1
                name=`echo "$1"|sed -e 's/=.*//'`
                export $name
                shift 1
                ;;
            *)
                break
                ;;
            esac
        done
        exec "$@"
        break
    fi
    case "$value" in
    HOME|PATH|USER|_|SHLVL|TMPDIR|LOGNAME)
        ;;
    *\ *|*\(*|*\)*|*\!*)
        #echo "...skipping $value"
        ;;
    *)
        #echo value:"$value"
        unset "$value"
        ;;
    esac
done

/usr/bin/env明確にするために、私が作成しているいくつかのシステムには問題がないため、前述のPOSIX機能を使用してこの記事を書いていません：options -i。これらは、以下を含む古いBSDシステムです。Sun OS 4そしてHPUX 10（FreeBSDの「env」マニュアルページと比較してメモリを確認してください。）

ちなみに、このスクリプトは複数行の値を削除します（ただし、これは発生する可能性がある唯一の値であり、TERMCAP非常に古いシステムでのみ可能です）。 2番目のsed式はtabsumを含む範囲でなければなりませんspace。

POSIX（より興味がある可能性がある）の場合、関数を使用して親環境で選択した値を渡す操作を実行できます。たとえば、次のようになります。

env -i foo="bar"

したがって、両方をカスタマイズできます。変数が多い場合は扱いにくい可能性があるため、スクリプトを使用する方が良いでしょう。

sudoTERMCAPとにかくそれを拒否してください。これは、環境からこれらの変数を削除するのに役立つ変数の（長い）リストです。

sudo特定の変数設定にこだわります。ソースコードを読むplugins/sudoers/env.c、最後に次のブロックが表示されますrebuild_env。

/* Add the SUDO_USER, SUDO_UID, SUDO_GID environment variables. */
CHECK_SETENV2("SUDO_USER", user_name, true, true);
snprintf(idbuf, sizeof(idbuf), "%u", (unsigned int) user_uid);
CHECK_SETENV2("SUDO_UID", idbuf, true, true);
snprintf(idbuf, sizeof(idbuf), "%u", (unsigned int) user_gid);
CHECK_SETENV2("SUDO_GID", idbuf, true, true);

debug_return_bool(true);

つまり、関数が正常に返される直前にそれ自身を設定します。変わりやすい、自分のものを使う価値。

Answer