= Сообщение: 4718 из 5321 ========================================= RU.HUSKY = От : Sergey Zabolotny 2:469/122.2 16 Jan 22 22:15:58 Кому : Nil A 16 Jan 22 22:15:58 Тема : Защита от дурака - запрет билда от рута FGHI : area://RU.HUSKY?msgid=2:469/122.2+61e48263 На : area://RU.HUSKY?msgid=2:5015/46+61e46a22 = Кодировка сообщения определена как: CP866 ================================== ============================================================================== Hello *Nil.*
Sunday 16 January 2022 21:35, Nil A wrote to Sergey Zabolotny:
MD>>> Моя точка зрения на это такова: если нормальный человек MD>>> понимает, что так делать не надо, то он и не будет так делать. MD>>> Если же человек просто чайник, то может не понимать последствий. MD>>> Результатом сборки от рута могут стать какие-нибудь странные MD>>> ошибки при исполнении. SZ>> можно с этого места подробнее, каким образом имя пользователя от SZ>> которого производится сборка может повлиять на содержимое SZ>> собираемых исполняемых файлов?
NA> Я понимаю твою озабоченность, тебе пытаются втюкахать принципы M$, NA> типа мы лучше знаем что надо пользователям, чтобы они себе не NA> выстрелили в ногу (или ещё куда-то). Посмотри на это с другой стороны. NA> Ты запускаешь какой-то сторонний скрипт, написанный какими-то NA> фидотипами, по определению любителями (ведь сеть любительская), NA> которые заранее декларируют, что используйте на свой страх и риск NA> (примерный перевод лицензии), и кагбэ в твоих интересах это запускать NA> от какого-то билд-пользователя на своей мимимишной системе. всех под одну гребенку нельзя. у меня, например, сборка выполняется в изолированном контейнере и мне абсолютно наплевать, что там может внутри случиться. ключик типа allow_root=yes мог бы помочь, но его нет.
NA> Там скрипты, которые ивалюируют переменные в зависимости от (погоды на NA> Марсе), с применением тех тулов, которые должны были быть установлены NA> у тебя в системе (весьма оптимистично), с некими проверками, а может и NA> без проверок, и потом такие переменные подставляются в какие-то NA> файловые операции, и я тебя уверяю, тебе очень при этом хочется, чтобы NA> это всё как-то оставалось в некоем сендбоксе, но нет, вся твоя NA> файловая система от / доступна для RW. Безобидный rm $(TARGET) может NA> таргетнуть что-то сильно тебе любимое в этой жизне. я заглядывал в код скрипта сборщика. комментировал строку проверки айди (проще было закомментить строчку кода, чем заводить, доп юзера), но этого оказалось недостаточно... скрипт в процессе подтягивания свежего кода из реп тянет и другие скрипты, которые используются основным скриптом. в тех скриптах тоже есть проверки айди юзера. я сдался и добавил обычного юзера в систему-сборщик после этого.
