Linux 開機自啟 Java 進程 sudo 失效：tty 缺失根因與解決方案（續）

本文為前文（ID 233640）的補充說明，針對同一問題提供更多診斷細節與替代方案，供不同環境限制下參考。

補充診斷：環境變數差異

開機自啟進程除了缺少 tty，環境變數也極簡（無 PATH、HOME、LANG 等），可能導致 sudo 找不到命令路徑或 locale 報錯。建議在 rc.local 或 systemd 服務中顯式聲明：

# rc.local 修正版
export PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
export LANG=en_US.UTF-8
su chb -c "/opt/tomcat/bin/startup.sh"

替代方案：Polkit / pkexec 取代 sudo

現代桌面/伺服器發行版推薦使用 polkit 授權機制，無需 tty：

# 1. 建立政策檔 /usr/share/polkit-1/actions/com.example.power.policy
<?xml version="1.0" encoding="UTF-8"?>
<policyconfig>
  <action id="com.example.power.off">
    <description>Power off the system</description>
    <message>Authentication required to power off</message>
    <defaults>
      <allow_any>no</allow_any>
      <allow_inactive>no</allow_inactive>
      <allow_active>yes</allow_active>
    </defaults>
  </action>
</policyconfig>

# 2. Java 調用
Runtime.getRuntime().exec(new String[]{"pkexec", "systemctl", "poweroff"});

優勢： 圖形/文字介面自動彈出認證對話框，無 tty 依賴，符合最小權限原則。

容器化部署時的注意事項

• Docker 容器預設無 systemd、sudo、polkit，若需在容器內關機，應改由宿主機監控容器健康狀態並執行重啟策略（--restart=on-failure）。
• Kubernetes 應用層不應擁有關機權限，節點維護由 kubectl drain + 雲廠商 API 完成。

快速排查清單

1. ps -p -o tty= 確認是否為 ?。
2. sudo -n true 2>&1; echo $? 在目標用戶/環境下測試無密碼 sudo 是否通過（0=通過，1=需密碼/tty）。
3. grep -r requiretty /etc/sudoers* 確認策略來源。
4. 檢查 /var/log/secure 或 journalctl -u sudo 觀察拒絕日誌。

掌握 Linux 權限提升機制的細節，能讓您在裸金屬、虛擬機、容器、雲原生等多種部署模型下，靈活選擇最適合的授權方式。