图形应用程序的权限提升

本文提供了使用图形应用程序执行特权任务的方法，例如挂载文件系统、对驱动器进行分区以及编辑系统文件。应当避免将整个图形应用程序作为 root 运行，因为：

它可能会无意中修改你主目录中的文件权限。
大多数图形代码尚未经过以更高权限运行的安全审计。

在 GUI 应用程序中执行特权操作

使用 polkit 进行权限提升

polkit 允许非特权 GUI 应用程序执行某些预先安排的需要特殊权限的操作。如果应用程序自带 polkit 支持，并且系统中有一个运行中的 polkit 代理，那么在必要时你应该会自动收到凭据请求提示。

要查找系统中支持 polkit 的应用程序，你可以先通过 pacman -Qi polkit 查看哪些软件包依赖它。此外，每个支持的应用程序都会在 /usr/share/polkit-1/actions/ 中安装一个或多个策略。一些 polkit 程序是面向用户的应用程序，例如 gparted，而另一些则是被其他应用程序使用的共享实用程序。例如，许多文件管理器使用 udisks2 或 gvfs 来根据请求挂载文件系统。

文件编辑

这些是不依赖于具体应用程序的编辑方法，用于编辑通常无法访问和/或无法写入的文件。

sudoedit

对于对系统文件的一次性编辑，可以使用 sudoedit 在编辑器中编辑一个临时的非特权副本。

GVFS

可以通过 GVFS 访问特权文件和目录，方法是在 URI 方案中指定 admin 后端 [1][2]，例如：

$ nautilus admin:///root/

或者

$ gedit admin:///etc/fstab

提示这也可以在应用程序的地址栏/文件选择器中完成：例如在 nautilus 或 gedit 中，按下 Ctrl+l 然后在资源路径前加上 admin:// 方案。通过其他位置的服务器地址栏也可以达到同样的效果。

kio-admin

KIO Admin Worker 在支持 KIO 的应用程序（如 Dolphin）中提供 admin:// URI，从而允许特权文件操作。

安装 kio-admin 以获得此功能支持。

以 root 身份运行 GUI 应用程序

警告以下所有方法都具有用户应当意识到的安全影响。正如 GNOME 开发者 Emmanuele Bassi 所描述的那样：

[...] 没有任何*真实*的、有据可查的、技术性的原因让任何人以 root 身份运行 GUI 应用程序。通过以管理员用户运行 GUI 应用程序，你实际上是在运行数百万行未经适当审计以在提升权限下运行的代码；你还在运行会触及 $HOME 内部文件并可能更改其文件系统所有权的代码；通过 IPC 连接到更多运行中的代码，等等。

你正在打开一个巨大的、深层的安全漏洞 [...]。

Xorg

默认情况下，出于安全原因，root 将无法连接到非 root 用户的 X server。不过，如果必要，有多种方法可以允许 root 这样做。

Polkit

在 X 下以提升权限运行 GUI 应用程序的正确且推荐的方法是创建 Polkit 策略，如这个论坛帖子所示。

然而，正如 pkexec(1) 所提醒的，这应“仅用于遗留程序”。应用程序应当将“特权操作延迟到一段可审计的、自包含的、极小的代码中，该代码在进行权限提升后执行，并在不再需要时被舍弃”[3]。这可以作为向原项目提交 Bug 报告的理由。

临时方法

这些方法将应用程序包裹在权限提升框架中，并在应用程序退出时舍弃获取的权限：

kdesu(1)（来自 kde-cli-tools）

$ kdesu application

sudo（必须正确配置）

$ sudo application

sux^AUR（su 的包装器，将传递你的 X 凭据）

$ sux root application

替代方法

这些方法将允许 root 连接到非 root 用户的 X server，但会带来不同程度的安全风险，尤其是当你运行 ssh 时。如果你在防火墙之后，你可以认为它们对于你的需求来说足够安全。

Xhost

Xhost 可用于临时允许 root 访问。

永久允许 root 访问

方法 1：在以下文件中添加该行：

session         optional        pam_xauth.so

同时添加到 /etc/pam.d/su 和 /etc/pam.d/su-l。然后使用 su 或 su - 切换到 root 用户。

方法 2：在 /etc/profile 中全局设置

在 /etc/profile 中添加以下行：

/etc/profile

export XAUTHORITY=/home/username/.Xauthority

这将永久允许 root 连接到非 root 用户的 X server。

或者，仅指定某个特定应用程序：

# XAUTHORITY=/home/username/.Xauthority appname

其中 appname 是特定应用程序的名称（例如 kwrite）。

Wayland

尝试在 Wayland 会话中通过 su、sudo 或 pkexec 以 root 用户身份运行图形应用程序（例如 GParted 或 Gedit）将失败，并出现类似以下错误的提示：

# gedit

No protocol specified
Unable to init server: Could not connect: Connection refused

(gedit:2349): Gtk-WARNING **: cannot open display: :0

Wayland 应用程序

本节仅适用于未在 XWayland 下运行的原生 Wayland 应用程序。

使用 sudo -E

你可以通过以下命令启动应用程序：

$ sudo -E program

这将保留像 WAYLAND_DISPLAY 这样的环境变量。

如果你希望 HOME 环境变量被设置为目标用户，请使用：

$ sudo -EH program

参见 sudo(8)。

使用 pkexec

你可以通过以下命令启动 GUI 应用程序：

$ pkexec env WAYLAND_DISPLAY="$XDG_RUNTIME_DIR/$WAYLAND_DISPLAY" XDG_RUNTIME_DIR=/run/user/0 program

这将保留 WAYLAND_DISPLAY 环境变量。

XWayland

在 XWayland 下，Xorg 变通方法不再起作用，因为默认设置已被改为仅允许启动 X server 的用户连接客户端（参见bug 报告以及它所指的该上游 commits）。

一种变通方法是使用 xhost 临时允许 root 用户访问本地用户的 X 会话[4]。为此，请以当前（非特权）用户执行以下命令：

$ xhost si:localuser:root

在应用程序关闭后移除此访问权限：

$ xhost -si:localuser:root