dbus 和 policykit 实例篇（python） （）转

使用policykit 的程序一般都有一个dbus daemon程序来完成相关操作，这个dbus daemon 会在系统注册一个system bus 服务名，用于响应要求root privileged的操作，当dbus请求到达时会先验证请求程序是否有相应的权限来调用这个操作（方法），而这是在.conf文件中定义的（后面说明）。

首先定义个System Dbus daemon，写一个.service文件来启动我们的daemon

org.example.foo.service

文件放置目录：/usr/share/dbus-1/system-services

Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/

-->1 [D-BUS Service]
2 Name=org.example.foo
3 Exec=/usr/local/libexec/policykit_dbus_foo_daemon.py
4 User=root

其中Name是注册的SystemBus 服务名

Exec 是daemon 程序所在路径

我们以root权限启动

当有程序请求org.example.foo服务时，系统会自动以root启动我们的daemon。

相关信息看这里D-Bus system bus activation

注： SessionBus 的 ‘org.freedesktop.PolicyKit.AuthenticationAgent‘ 的服务，只有在请求认证的时候才自动启动，打开过一段时间会自动关闭。

再看我们的daemon程序

policykit_dbus_foo_daemon.py

文件放置目录：/usr/local/libexec

Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/

--> 1 #!/usr/bin/python
2 # -*- coding: UTF-8 -*-
3 """
4 Author: joe.zhou
5 """
6 import os
7 import sys
8 import gobject
9 import dbus
10 import dbus.service
11 import dbus.mainloop.glib
12
13 class NotPrivilegedException (dbus.DBusException):
14 _dbus_error_name = "org.example.foo.dbus.service.PolKit.NotPrivilegedException"
15 def __init__ (self, action_id, *p, **k):
16 self._dbus_error_name = self.__class__._dbus_error_name + "." + action_id
17 super (NotPrivilegedException, self).__init__ (*p, **k)
18
19 def require_auth (action_id):
20 def require_auth_decorator(func):
21 def _func(*args,**kwds):
22 revoke_if_one_shot = True
23 system_bus = dbus.SystemBus()
24 auth_obj = system_bus.get_object(‘org.freedesktop.PolicyKit‘,‘/‘)
25 auth_interface = dbus.Interface(auth_obj,‘org.freedesktop.PolicyKit‘)
26 try:
27 dbus_name = kwds[‘sender_keyword‘]
28 except:
29 raise NotPrivilegedException (action_id)
30 granted = auth_interface.IsSystemBusNameAuthorized(action_id,dbus_name,revoke_if_one_shot)
31 if granted != ‘yes‘:
32 raise NotPrivilegedException (action_id)
33
34 return func(*args,**kwds)
35
36 _func.func_name = func.func_name
37 _func.__name__ = func.__name__
38 _func.__doc__ = func.__doc__
39 return _func
40 return require_auth_decorator
41
42 ‘‘‘
43 A D-Bus service that PolicyKit controls access to.
44 ‘‘‘
45 class PolicyKitFooMechanism(dbus.service.Object):
46 SERVICE_NAME = ‘org.example.foo‘
47 SERVICE_PATH = ‘/org/example/foo‘
48 INTERFACE_NAME = ‘org.example.foo‘
49
50 def __init__(self, conn, object_path=SERVICE_PATH):
51 dbus.service.Object.__init__(self, conn, object_path)
52
53 @dbus.service.method(dbus_interface=INTERFACE_NAME, in_signature=‘ss‘,out_signature=‘s‘,sender_keyword=‘sender‘)
54 def WriteFile(self, filepath, contents,sender=None):
55 ‘‘‘
56 Write the contents to a file that requires sudo/root access to do so.
57 PolicyKit will not allow this function to be called without sudo/root
58 access, and will ask the user to authenticate if necessary, when
59 the application calls PolicyKit‘s ObtainAuthentication().
60 ‘‘‘
61 @require_auth(‘org.example.foo.modify‘)
62 def _write_file(filepath,contents,sender_keyword = None):
63 f = open(filepath, ‘w‘)
64 f.write(contents)
65 f.close()
66 return ‘done‘
67 return _write_file(filepath,contents,sender_keyword = sender)
68
69 @dbus.service.method(dbus_interface=INTERFACE_NAME, in_signature=‘s‘,out_signature=‘as‘,sender_keyword=‘sender‘)
70 def RunCmd(self, cmdStr, sender=None):
71 @require_auth(‘org.example.foo.sys‘)
72 def _run_cmd(cmdStr,sender_keyword = None):
73 f = os.popen(cmdStr)
74 output = f.readlines()
75 f.close()
76 return output
77 return _run_cmd(cmdStr,sender_keyword = sender)
78
79 @dbus.service.method(dbus_interface=INTERFACE_NAME,in_signature=‘‘, out_signature=‘‘,sender_keyword=‘sender‘)
80 def Exit(self, sender=None):
81 @require_auth(‘org.example.foo.sys‘)
82 def _exit(sender_keyword = None):
83 loop.quit()
84 return _exit(sender_keyword = sender)
85
86 @dbus.service.method(dbus_interface=INTERFACE_NAME,in_signature=‘‘, out_signature=‘s‘)
87 def hello(self):
88 return ‘hello‘
89
90 if __name__ == ‘__main__‘:
91 dbus.mainloop.glib.DBusGMainLoop(set_as_default=True)
92 bus = dbus.SystemBus()
93 name = dbus.service.BusName(PolicyKitFooMechanism.SERVICE_NAME, bus)
94 the_object = PolicyKitFooMechanism(bus)
95 loop = gobject.MainLoop()
96 loop.run()
97
98

在daemon程序中定义了三个需要权限的操作，一个不需要权限的操作，也定义了操作（方法）要求验证的action id，程序請求写文件操作时需先向org.freedesktop.PolicyKit.AuthenticationAgent 请求对应的 action id权限才能再进行调用，

否则会提示没有权限，hello操作不需要操作权限，两者区别在于来请求时是否先向 org.freedesktop.Policykit 检测这个 dbus 請求是否有 previleged。

具体是调用 IsSystemBusNameAuthorized 方法来验证,通过则返回‘yes‘，否则 返回其它字符串

使用命令以下命令查看方法的 IsSystemBusNameAuthorized 详细 introspec

Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/

-->dbus-send --system --print-reply --dest=org.freedesktop.PolicyKit / org.freedesktop.DBus.Introspectable.Introspect

在这里值得注意的是如果你定义了一系列的系统级调用操作（以root方式启动前面的程序，但去除了前面的@require_auth 部分），你必须保证每个操作要进行权限验证，即加上这个东西@require_auth(‘org.example.foo.sys‘)

如果你定义了写文件的dbus操作，但是没有进行权限验证的话，一个普通用户的dbus 调用請求也会调用通过，即普通用户可以随意改写任何文件，这是很危险的

你也可以尝试把前面的@require_auth部分去掉，再启动服务，用d-feet 就可以调用WriteFile方法随意地在根目录上写入文件

－－题外话——

本想将程序写成这种形式的

Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/

-->1 @require_auth(‘org.example.foo.sys‘)
2 @dbus.service.method(dbus_interface=INTERFACE_NAME,in_signature=‘‘, out_signature=‘‘,sender_keyword=‘sender‘)
3 def Exit(self, sender=None):
4 loop.quit()

这样写，用d-feet 看了下，服务起不来，调了很久也找不出原因，无奈写成这种冗余的方式 --!，看能否有高手指点下，不尽感激！！

接着定义谁可以调用这些操作（方法），在.conf 文件定义

org.example.foo.conf

文件放置目录：/etc/dbus-1/system.d

Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/

--> 1 <?xml version="1.0" encoding="UTF-8"?> <!-- -*- XML -*- -->
2
3 <!DOCTYPE busconfig PUBLIC
4 "-//freedesktop//DTD D-BUS Bus Configuration 1.0//EN"
5 "http://www.freedesktop.org/standards/dbus/1.0/busconfig.dtd">
6 <busconfig>
7
8 <!-- Only root can own the service -->
9 <policy user="root">
10 <allow own="org.example.foo"/>
11 <allow send_interface="org.example.foo"/>
12 </policy>
13
14 <!-- allow Introspectable --><!-- 任何人都可以调用，在后面使用.policy进行約束-->
15 <policy context="default">
16 <allow send_interface="org.example.foo"/>
17 <allow send_interface="org.freedesktop.DBus.Introspectable"/>
18 </policy>
19
20 </busconfig>
21

再跟着是定义相关的 action id了，在.policy 文件定义

其中定义授权认证的方式和时效可以有以下几种

Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/

-->no
auth_self$$
auth_admin$$
yes

其中加$$的可以附加后缀 _one_shot，_keep_session，_keep_always
其意义字面已经很清楚了

另外也可以看看 man policykit.conf

不会写？参照/usr/share/PolicyKit/policy 目录下一堆 .policy文件总会了吧

写好后可以用工具 polkit-policy-file-validate 验证下是否有效

org.example.foo.policy

文件放置目录：/usr/share/PolicyKit/policy

Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/

--> 1 <?xml version="1.0" encoding="UTF-8"?>
2 <!DOCTYPE policyconfig PUBLIC
3 "-//freedesktop//DTD PolicyKit Policy Configuration 1.0//EN"
4 "http://www.freedesktop.org/standards/PolicyKit/1.0/policyconfig.dtd">
5 <policyconfig>
6
7 <vendor>Example Application</vendor>
8 <vendor_url>http://fedoraproject.org/example</vendor_url>
9
10 <action id="org.example.foo.modify">
11 <description>Example Write Access</description>
12 <message>System policy prevents write access to the Example service</message>
13 <defaults>
14 <allow_inactive>no</allow_inactive>
15 <allow_active>auth_admin</allow_active>
16 </defaults>
17 </action>
18
19 <action id="org.example.foo.sys">
20 <description>Example system action</description>
21 <message>System policy prevents do system action to the Example service</message>
22 <defaults>
23 <allow_inactive>no</allow_inactive>
24 <allow_active>auth_admin</allow_active>
25 </defaults>
26 </action>
27
28
29 </policyconfig>

做好以上工作，我们可以写我们的调用端程序了

Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/

--> 1 #!/usr/bin/python
2 # -*- coding: UTF-8 -*-
3 import os
4 import sys
5 import gobject
6 import dbus
7 import dbus.service
8 import dbus.mainloop.glib
9 import traceback
10
11 def auth_proxy (func):
12 DBUSNAME = ‘org.freedesktop.PolicyKit.AuthenticationAgent‘
13 DBUSPATH = ‘/‘
14 DBUSINTERFACE = ‘org.freedesktop.PolicyKit.AuthenticationAgent‘
15 EXC_NAME = "org.example.foo.dbus.service.PolKit.NotPrivilegedException"
16 def auth_proxy_wrapper (*args, **kwds):
17 try:
18 return func (*args, **kwds)
19 except dbus.DBusException, e:
20 exc_name = e.get_dbus_name ()
21 if exc_name.startswith (EXC_NAME + "."):
22 session_bus = dbus.SessionBus ()
23 auth_obj = session_bus.get_object (DBUSNAME, DBUSPATH)
24 auth_interface = dbus.Interface(auth_obj,DBUSINTERFACE)
25 action_id = exc_name[len (EXC_NAME)+1:]
26 granted = auth_interface.ObtainAuthorization (action_id, dbus.UInt32 (0),dbus.UInt32 (os.getpid ()))
27 if not granted:
28 raise
29 else:
30 raise
31
32 return func(*args, **kwds)
33 return auth_proxy_wrapper
34
35 class DbusTestProxy:
36 SERVICE_NAME = ‘org.example.foo‘
37 SERVICE_PATH = ‘/org/example/foo‘
38 INTERFACE_NAME = ‘org.example.foo‘
39 def __init__(self):
40 self.bus = dbus.SystemBus()
41 self.o = self.bus.get_object(self.SERVICE_NAME,self.SERVICE_PATH)
42 self.i = dbus.Interface(self.o,self.INTERFACE_NAME)
43
44 @auth_proxy
45 def WriteFileWithAuth(self,filePath,contents):
46 return self.i.WriteFile(filePath,contents)
47
48 def WriteFileWithoutAuth(self,filePath,contents):
49 return self.i.WriteFile(filePath,contents)
50
51 @auth_proxy
52 def RunCmd(self,cmdStr):
53 return self.i.RunCmd(cmdStr)
54
55 @auth_proxy
56 def Exit(self):
57 return self.i.Exit()
58
59 #do not need to auth
60 def hello(self):
61 return self.i.hello()
62
63
64 if __name__ == "__main__":
65 p = DbusTestProxy()
66 #print p.RunCmd(‘ls -al‘)
67 print p.WriteFileWithAuth(‘/text‘,‘test\n‘)
68 #print p.WriteFileWithoutAuth(‘/text‘,‘test\n‘)
69 #p.Exit()
70 print p.hello()

运行上面的程序尝试WriteFileWithAuth 方法会弹出验证的对话框，口令正确的话会在根目录写入文件，调用WriteFileWithoutAuth会因为没有调用权限验证

而返回没有privileged的 异常，因为WriteFile操作是需要权限的。

以上程序相当的简单，因为我也是python新手，相信你也看得明白。

最后打个包，点击下载 policykit_dbus_foo.7z

#install
sudo ./install.sh install

#remove
sudo ./install.sh uninstall

#test
./policykit_dbus_foo_client.py

以上系统环境为ubuntu 8.04

Reference：

http://hal.freedesktop.org/docs/PolicyKit

Policy, Mechanism and Time zones

http://dbus.freedesktop.org/doc/dbus-specification.html

http://dbus.freedesktop.org/doc/dbus-python/doc/tutorial.html

python Decorator for functions and methods

最后发现了个开源项目 python-slip

其中 slip.dbus.polkit 部分，封装了policykit, 能使你在项目中使用policykit 更容易些.(我觉得python已经够简单的了Orz)

注：转载注明出处

http://www.cnblogs.com/joe2k8/archive/2009/05/24/1488074.html

时间： 2024-11-05 06:26:34

dbus 和 policykit 实例篇（python） （）转的相关文章

MonoRail学习－入门实例篇

1.到官方网站下载安装文件,地址如下: http://www.castleproject.org/index.php/Castle:Download目前最新版本Beta5(您也可以不需要下载,直接使用实例代码中lib中的dll) 2.添加对Castle.MonoRail.Framework.dllCastle.MonoRail.Framework.Views.CompositeView.dllCastle.MonoRail.Framework.Views.NVelocity.dllNVeloci

简学LINGO（三）——实例篇

1. 装配线平衡模型 一个装配线含有一系列的工作站,在最终产品的加工过程中每个工作站执行一种或者是几种特定的任务.装配线周期是指所有工作站完成分配给他们各自任务所花费时间的最大值.平衡装配线的目标是为每个工作站分配加工任务,尽可能使每个工作站执行相同数量的任务,其最终标准是转配线周期最短.不适当的平衡装配线将会产生瓶颈--有较少任务的工作站将被迫等待前面分配了较多任务的工作站. 这个模型的目标是最小化装配线周期,有两类约束: (1)要保证每件任务只能也必须分配至一个工作站来加工: (2)要保证满

Asp.Net MVC2.0 Url 路由入门---实例篇

本篇主要讲述Routing组件的作用,以及举几个实例来学习Asp.Net MVC2.0 Url路由技术. 接着上一篇开始讲,我们在Global.asax中注册一条路由后,我们的请求是怎么转到相应的View的呢?Controller和Action是怎么解析的?这就是Routing组件干的事情了. Routing的作用:它首先是获取到View传过来的请求,并解析Url请求中Controller和Action以及数据,其次他将识别出来的数据传递给Controller的Action(Controller

Mybatis最入门---ResultMaps实例篇（一对多查询）

[一步是咫尺,一步即天涯] 接上文,我们来演示在实际开发中,如何配置和使用resultMap实现一对多查询. 准备工作: a.操作系统 :win7 x64 b.基本软件:MySQL,Mybatis,Spring,SQLyog,Tomcat,web基础 特别的,作为演示程序,还请各位看官不要纠结数据库的细节内容 ----------------------------------------------------------------------------------------------

了解javascript中的this --实例篇

对javascript this的赋值有了深一层的理解后,看一下比较复杂的情况,this的应用篇参考<对javascript this的理解>. #demo1 1 var name="window"; 2 var object = { 3 name:"me", 4 getname:(function(){ 5 alert(this.name);//window,加载即执行 6 return function(){ 7 return this.name;

python第一篇-------python介绍

python第一篇-------python介绍 一.python介绍 python的创始人为吉多·范罗苏姆(Guido van Rossum).1989年的圣诞节期间,Guido开始写Python语言的编译器.Python这个名字,来自Guido所挚爱的电视剧Monty Python's Flying Circus.他希望这个新的叫做Python的语言,能符合他的理想:创造一种C和shell之间,功能全面,易学易用,可拓展的语言. 最新的TIOBE排行榜,Python赶超PHP占据第4, Py

我想没有哪篇文章比我这篇python入门更完整更系统更全面了吧！

随着人工智能.大数据的时代到来,学习Python的必要性已经显得不言而喻.我经常逛youtube,发现不仅仅是以编程为职业的程序员,证券交易人员,生物老师,高级秘书......甚至许多自由撰稿人,设计师都在学习Python. ,我一点也没有言过其实.对于学习Python的重要性,这里不再赘述.今天整理的教程,是给零基础的同学入门Python.创一个小群,供大家学习交流聊天如果有对学python方面有什么疑惑问题的,或者有什么想说的想聊的大家可以一起交流学习一起进步呀.也希望大家对学python能

[转帖]虚拟内存探究 -- 第二篇:Python 字节

虚拟内存探究 -- 第二篇:Python 字节 http://blog.coderhuo.tech/2017/10/15/Virtual_Memory_python_bytes/ 是真看不懂哦 翻译 虚拟内存  翻译 这是虚拟内存系列文章的第二篇.这次我们要做的事情和<虚拟内存探究 – 第一篇:C strings & /proc>类似,不同的是我们将访问Python 3 脚本的虚拟内存.这会比较费劲, 所以我们需要了解Pyhton3 内部的一些机制. 一.预备知识 本文基于上一篇文章&

智普教育Python视频教程之入门基础篇,python笔记

智普教育Python视频教程之入门基础篇,python笔记 print id()内存地址 type()变量类型 windows命令行下edit命令 python数据类型不需要指定类型 定义hostname="www.google.com" 结果运行后总是告诉我NameError: name 'socket' is not defined 哪位帮我分析一下,怎么改才对 没用过socket,不过你试着在第一行加入 import socket C:\>notepad somefile.