从 PHP 脚本启动 FOREVER 或 PM2 作为 WWW-DATA

Question

我有一个名为 script.js 的 nodejs 脚本。

var util = require('util'); 
var net = require("net"); 

process.on("uncaughtException", function(e) {
console.log(e);
});

var proxyPort = "40000"; 
var serviceHost = "1.2.3.4"; 
var servicePort = "50000"; 

net.createServer(function (proxySocket) {
    var connected = false;
    var buffers = new Array();
    var serviceSocket = new net.Socket();
    serviceSocket.connect(parseInt(servicePort), serviceHost);
    serviceSocket.pipe(proxySocket).pipe(serviceSocket);
    proxySocket.on("error", function (e) {
        serviceSocket.end();
    });
    serviceSocket.on("error", function (e) {
        console.log("Could not connect to service at host "
            + serviceHost + ', port ' + servicePort);
        proxySocket.end();
    });
    proxySocket.on("close", function(had_error) {
        serviceSocket.end();
    });
    serviceSocket.on("close", function(had_error) {
        proxySocket.end();
    });
}).listen(proxyPort);

我像nodejs script.js 一样正常运行它，但现在我也想包含forever 或pm2 功能。当我是root 时，一切都很顺利：

chmod -R 777 /home/nodejs/forever/;
-- give rights

watch -n 0.1 'ps ax | grep forever | grep -v grep'
-- watch forwarders (where i see if a forever is opened)

/usr/local/bin/forever -d -v --pidFile "/home/nodejs/forever/file.pid" --uid 'file' -p '/home/nodejs/forever/' -l '/home/nodejs/forever/file.log' -o '/home/nodejs/forever/file.log' -e '/home/nodejs/forever/file.log' -a start /etc/dynamic_ip/nodejs/proxy.js 41789 1.2.3.4:44481 414 file
-- open with forever

forever list
-- it is there, i can see it

forever stopall
-- kill them all

问题是当我想从带有system 或exec 函数的PHP 脚本运行脚本时：

sudo -u www-data /usr/local/bin/forever -d -v --pidFile "/home/nodejs/forever/file.pid" --uid 'file' -p '/home/nodejs/forever/' -l '/home/nodejs/forever/file.log' -o '/home/nodejs/forever/file.log' -e '/home/nodejs/forever/file.log' -a start /etc/dynamic_ip/nodejs/proxy.js 41789 1.2.3.4:44481 414 file
-- open as www-data (or i can do this just by accessing `http://1.2.3.4/test.php`, it is the same thing)

forever list
-- see if it is there, and it is not (i see it in watch)

forever stopall
-- says no forever is opened

kill PID_ID
-- the only way is to kill it by pid ... and on another server all of this works very well, can create and kill forevers from a php script when accessing it from web ... not know why
-- everything is in /etc/sudoers including /usr/local/bin/forever 

这是为什么呢？我该如何解决这个问题？

我还做了一些技巧，创建了一个用户“forever2”，我创建了一个script.sh，内容如下：

sudo su forever2 user123; /usr/local/bin/forever -d -v --pidFile "/home/nodejs/forever/file.pid" --uid 'file' -p '/home/nodejs/forever/' -l '/home/nodejs/forever/file.log' -o '/home/nodejs/forever/file.log' -e '/home/nodejs/forever/file.log' -a start /etc/dynamic_ip/nodejs/proxy.js 41789 1.2.3.4:44481 414 file;

其中user123 不存在，只是在执行后退出shell 的一个技巧。该脚本有效，运行forever，我可以使用来自root 的命令forever stopall 关闭所有永远。当我尝试运行http://1.2.3.4/test.php 或www-data 用户的相同操作时，我无法从root 或www-data 关闭它，所以即使这样也行不通。

我从Ubuntu 14.04.3 LTS、Ubuntu 14.04 LTS、Debian GNU/Linux 8 尝试过……还是一样。

有什么想法吗？

谢谢。

Answer 1

如果您从 Apache 或网络服务器中启动进程，您已经是 www-data 用户，因此可能不需要对您已经拥有的用户上下文执行 sudo su。

当您启动此forever 任务时，您可能还需要关闭终端/输入并直接发送到后台。像这样的：

// Assemble command
$cmd = '/usr/bin/forever';
$cmd.= ' -d -v --pidfile /tmp/my.pid'; // add other options
$cmd.= ' start';
$cmd.= ' /etc/dynamic_ip/nodejs/proxy.js';
// "magic" to get details
$cmd.= ' 2>&1 1>/tmp/output.log'; // Route STDERR to STDOUT; STDOUT to file
$cmd.= ' &'; // Send whole task to background.
system($cmd);

现在，这里不会有任何输出，但您应该在 /tmp/output.log 中有一些内容，这可以说明为什么 forever 失败或脚本崩溃了。

如果您有时以 root 身份运行脚本，然后尝试使用与 www-data 相同的命令，您可能还会遇到一个或多个文件/目录的权限，这些文件/目录是在以 root 身份执行时创建的，现在在运行时会发生冲突作为 www 数据。

Answer 2

这是 PHP 安全性的一部分，您说您是从 php 脚本运行它，而不是通过 php 脚本从 Apache 运行它。

PHP Web 脚本不应具有 root 访问权限，因为它们在与 Apache 用户 www-data 相同的权限下运行。

有一些方法可以防止 php 以 root 身份运行，但以 root 身份运行任务，但这有点 hacky，我不打算分享代码，但我会解释一下，以便您查看。从这里开始

http://php.net/manual/en/function.proc-open.php

通过这样的过程，您可以执行过程。就像你的script.js 通过nodeJS 使用SUDO 然后读取stdOut 和stdErr 等待密码请求然后通过写入stdIn 来提供它。

不要忘记用户 www-data 必须有密码并且在 sudoers 列表中

根据 OP 评论 由于 SUDO 的工作方式，PATH 似乎不包含节点可执行文件npm, node 的路径，因此您最好构建一个 .sh（bash 脚本）并使用 sudo 运行它。

你仍然需要监控这个过程，因为它仍然会要求输入密码

#!/bin/bash
sudo -u ec2-user -i
# change this to the path you want to run from
cd ~
/usr/local/bin/pm2 -v