帮朋友跑程序要注意什么

朋友让你帮忙跑个程序，碍于情面接下来之前，有几件事必须先说清楚。程序出了问题，账号的主人跑不掉。 资源是第一笔账 程序吃多少 CPU、内存、带宽，先问清再放行。爬虫、编译、转码都是资源大户，跑满 CPU 会拖垮同机的其他业务。给多少配额别拍脑袋，先空跑一分钟看资源占用再定。稳妥做法是单独建低权限账号，再加限制兜底： ``` useradd -m -s /bin/bash runner systemd-run --scope -p CPUQuota=50% -p MemoryMax=2G ./task.sh ``` 磁盘单独划个目录并收窄权限：目录只给运行账号可写，其余只读，日志写满主盘这种事故很常见。系统层面还可以在 /etc/security/limits.conf 里限进程数，防止失控 fork。 安全责任是第二笔 程序会连外网、会读写哪些目录，最好过目一遍。对方代码里要是带了个下载执行的脚本，或者悄悄扫描端口，性质就完全变了。跑起来之后定期看看它的对外连接： ``` ss -tp | grep runner ``` 出现陌生地址或大量并发连接，先停掉再问清楚。流量走向不对，宁可先欠着人情。让历史记录带时间戳，history 配合 HISTTIMEFORMAT，追溯起来有据可查。 违规内容会连带 最重要的一条：拿你的服务器做违规的事，被处置的是服务器和实名主体——代理外网、攻击测试、垃圾邮件，无论程序是谁写的，责任都在机主。服务商对违规一般是先封停再申诉，同机的业务跟着一起停。多留个心眼：权限申请明显超出功能需要，比如一个统计脚本要 root，就该多问几句。拿不准用途的程序，宁可拒绝。 约定要落在文字上 跑什么、跑多久、占多少资源、谁负责盯着、怎么清理，群里说清楚或写份简单说明；清理落到动作上是三样：删账号、删目录、删计划任务，一样都别省。到期自动停，别让"临时帮忙"变成常驻负载。 帮忙可以，边界要先画好：独立账号、资源限额、内容知情，三样齐了再开机运行。