你为什么不写自己的login-shell？ 为此使用Bash会非常简单，但您可以使用任何语言。

Bash中的示例

使用您喜欢的编辑器创建文件;(这可以是任何名称或路径，但应该是&和&&)：

#!/bin/bash

commands=("man" "pwd" "ls" "whoami")

timestamp(){ date +'%Y-%m-%s %H:%M:%S'; }

log(){ echo -e "$(timestamp)\t$1\t$(whoami)\t$2" > /var/log/rbash.log; }

trycmd()

{

# Provide an option to exit the shell

if [[ "$ln" == "exit" ]] || [[ "$ln" == "q" ]]

then

exit

# You can do exact string matching for some alias:

elif [[ "$ln" == "help" ]]

then

echo "Type exit or q to quit."

echo "Commands you can use:"

echo " help"

echo " echo"

echo "${commands[@]}" | tr ' ' '\n' | awk '{print " " $0}'

# You can use custom regular expression matching:

elif [[ "$ln" =~ ^echo\ .*$ ]]

then

ln="${ln:5}"

echo "$ln" # Beware, these double quotes are important to prevent malicious injection

# For example, optionally you can log this command

log COMMAND "echo $ln"

# Or you could even check an array of commands:

else

ok=false

for cmd in "${commands[@]}"

do

if [[ "$cmd" == "$ln" ]]

then

ok=true

fi

done

if $ok

then

$ln

else

log DENIED "$cmd"

fi

fi

}

# Optionally show a friendly welcome-message with instructions since it is a custom shell

echo "$(timestamp) Welcome, $(whoami). Type 'help' for information."

# Optionally log the login

log LOGIN "$@"

# Optionally log the logout

trap "trap=\"\";log LOGOUT;exit" EXIT

# Optionally check for '-c custom_command' arguments passed directly to shell

# Then you can also use ssh user@host custom_command, which will execute /root/rbash.sh

if [[ "$1" == "-c" ]]

then

shift

trycmd "$@"

else

while echo -n "> " && read ln

do

trycmd "$ln"

done

fi

您所要做的就是将此可执行文件设置为登录shell。 例如，编辑;文件，并将该用户&的当前登录shell替换为&&。

这只是一个简单的例子，但您可以根据需要将其设置为高级，这个想法就在那里。 小心不要通过更改自己和唯一用户的登录shell来锁定自己。 并始终测试奇怪的符号和命令，看它是否真的安全。

你可以用以下方法测试它：;。

注意，确保匹配整个命令，并注意通配符！ 最好排除Bash符号，如;,&,&&,||,$，并确认反引号。

根据您给用户的自由度，它不会比这更安全。 我发现通常我只需要让一个只能访问少量相关命令的用户，在这种情况下，这确实是更好的解决方案。但是，您是否希望提供更多自由，监狱和权限可能更合适。 很容易犯错误，只有在已经太晚的时候才会注意到。