要在menu.sh 裡增加功能 1. scp功能, 但要讓user自己設定引數與參數 2. ssh 到特定主機, 但要user自己設定登入的帳號名稱
可以，但千萬不要直接讓使用者在 menu.sh 裡「自由輸入整串 scp/ssh 參數」然後丟進 shell 執行（會被用 ;、$( )、-oProxyCommand 等方式繞出去）。正確做法是：
- 只讓 user 填「你允許的欄位」（目的主機、帳號、來源檔名、目的路徑…）
- 其餘 SSH/SCP 參數由你固定寫死
- 白名單主機 + 路徑限制（只允許在特定資料夾內操作）
- 用 wrapper script（root 擁有）承接，menu 只呼叫 wrapper
下面給你可直接套用的 SOP。
0) 先做一個專用交換目錄（限制檔案範圍）
sudo mkdir -p /home/optim/transfer
sudo chown optim:optim /home/optim/transfer
sudo chmod 700 /home/optim/transfer
1) 建立 scp wrapper（允許 user 填「引數/參數」但被你控住）
1-1 建立 /usr/local/bin/optim_scp
sudo vi /usr/local/bin/optim_scp
貼上（把 ALLOWED_HOSTS 改成你允許的目的主機）：
#!/bin/bash
set -euo pipefail
ALLOWED_HOSTS=("10.0.0.10" "server1.internal" "server2.internal")
BASE_DIR="/home/optim/transfer"
is_allowed_host() {
local h="$1"
for x in "${ALLOWED_HOSTS[@]}"; do
[[ "$h" == "$x" ]] && return 0
done
return 1
}
valid_user() {
[[ "$1" =~ ^[a-z_][a-z0-9_-]{0,31}$ ]]
}
# 僅允許相對路徑（避免 /etc/passwd 之類）
valid_rel_path() {
local p="$1"
[[ "$p" != /* ]] && [[ "$p" != *".."* ]] && [[ "$p" =~ ^[A-Za-z0-9._/-]+$ ]]
}
echo "=== SCP (受控) ==="
echo "僅允許檔案位於: $BASE_DIR"
echo "允許主機: ${ALLOWED_HOSTS[*]}"
echo
read -r -p "方向 (1=上傳到遠端, 2=從遠端下載): " mode
read -r -p "遠端主機: " host
read -r -p "遠端登入帳號: " ruser
if ! is_allowed_host "$host"; then
echo "ERR: 主機不在白名單"
exit 1
fi
if ! valid_user "$ruser"; then
echo "ERR: 帳號格式不合法"
exit 1
fi
# 固定 SSH 選項：禁用危險玩法
SSH_OPTS=(
-o "BatchMode=no"
-o "PermitLocalCommand=no"
-o "ClearAllForwardings=yes"
-o "ProxyCommand=none"
-o "RequestTTY=no"
)
case "$mode" in
1)
# 上傳：BASE_DIR/相對路徑 -> 遠端:目的路徑
read -r -p "本機檔案(相對於 transfer/): " local_rel
read -r -p "遠端目的路徑(例如 /tmp 或 /home/user/transfer ): " remote_path
if ! valid_rel_path "$local_rel"; then
echo "ERR: 本機路徑必須是相對路徑且不可含 .."
exit 1
fi
if [[ "$remote_path" != /* ]] || [[ "$remote_path" == *".."* ]]; then
echo "ERR: 遠端目的路徑必須是絕對路徑且不可含 .."
exit 1
fi
src="$BASE_DIR/$local_rel"
if [[ ! -f "$src" ]]; then
echo "ERR: 找不到檔案: $src"
exit 1
fi
/usr/bin/scp "${SSH_OPTS[@]}" -- "$src" "${ruser}@${host}:${remote_path%/}/"
echo "OK: 上傳完成"
;;
2)
# 下載：遠端:檔案 -> BASE_DIR/目的檔名
read -r -p "遠端檔案完整路徑(例如 /tmp/a.log): " remote_file
read -r -p "本機目的檔名(放在 transfer/ 下): " local_name
if [[ "$remote_file" != /* ]] || [[ "$remote_file" == *".."* ]]; then
echo "ERR: 遠端檔案路徑必須是絕對路徑且不可含 .."
exit 1
fi
if ! [[ "$local_name" =~ ^[A-Za-z0-9._-]+$ ]]; then
echo "ERR: 本機目的檔名不合法"
exit 1
fi
dst="$BASE_DIR/$local_name"
/usr/bin/scp "${SSH_OPTS[@]}" -- "${ruser}@${host}:${remote_file}" "$dst"
/bin/chown optim:optim "$dst"
/bin/chmod 600 "$dst"
echo "OK: 下載完成 -> $dst"
;;
*)
echo "ERR: 模式錯誤"
exit 1
;;
esac
1-2 權限
sudo chown root:root /usr/local/bin/optim_scp
sudo chmod 755 /usr/local/bin/optim_scp
2) 建立 ssh wrapper（固定主機，但 user 可自填登入帳號）
2-1 建立 /usr/local/bin/optim_ssh
sudo vi /usr/local/bin/optim_ssh
貼上（把 TARGET_HOST 改成你指定的那台）：
#!/bin/bash
set -euo pipefail
TARGET_HOST="10.0.0.10"
valid_user() {
[[ "$1" =~ ^[a-z_][a-z0-9_-]{0,31}$ ]]
}
echo "=== SSH (受控) ==="
echo "目的主機固定: $TARGET_HOST"
read -r -p "請輸入登入帳號: " ruser
if ! valid_user "$ruser"; then
echo "ERR: 帳號格式不合法"
exit 1
fi
exec /usr/bin/ssh \
-o "ClearAllForwardings=yes" \
-o "PermitLocalCommand=no" \
-o "ProxyCommand=none" \
-o "ServerAliveInterval=30" \
-o "ServerAliveCountMax=3" \
-l "$ruser" \
"$TARGET_HOST"
2-2 權限
sudo chown root:root /usr/local/bin/optim_ssh
sudo chmod 755 /usr/local/bin/optim_ssh
3) 把功能加到 menu.sh
在你原本的 case 裡新增選項，例如：
echo "5) SCP 檔案傳輸 (受控)"
echo "6) SSH 到指定主機 (帳號自填)"
並加入：
5)
/usr/local/bin/optim_scp
;;
6)
/usr/local/bin/optim_ssh
;;
4) 重要提醒（避免你以為「外部 scp 也能用」）
你現在用的是 sshd_config 的 ForceCommand /opt/optim-menu/menu.sh，所以：
- ✅ 使用者登入後在選單內執行 scp/ssh（由 server 端發起）：可行
- ❌ 從使用者電腦用
scp optim@你的主機:...直接拉檔：通常會失敗（因為 scp 需要走 ssh 的 scp 子系統/命令，而你強制進選單）
如果你也需要「外部 scp 到這台主機」那要改成用 Match 區分 Subsystem sftp 或針對 sftp/scp 做不同規則（但那是另一套設計）。
如果你告訴我：
- 你要允許的遠端主機清單（多台？一台？）
- scp 只允許上傳？只允許下載？或都要？
- 遠端允許的目錄範圍（例如只准
/home/*/upload）
我可以把 wrapper 再加上「遠端路徑白名單」與「大小/副檔名限制」避免被拿去搬敏感檔。
信心指數：92%
