Как разрешить пользователю запускать/исполнять скрипт другого пользователя, но запретить его просмотр и изменение?

chmod o=x

Перловый скрипт владелец которого root лежит в домашней папке пользователя с правами -rwx--x--x
выполняю root-ом chmod o=x /home/user/file права те же и остаются!
Нужно чтобы скрипт запукался с правами root хотябы из какой папки.

Через sudo-обёртку.

man soft links.

что это значит?

soft links могут переопределять атрибуты доступа к файлу?

У каждой ссылки могут быть свои атрибуты.

man shc

Скрипт = текстовый файл с первой строкой вида #!/путь/к/исполнителю/скрипта

Выполнение скрипта = запуск /путь/к/исполнителю/скрипта <путь/к/файлу/скрипта> <прочие параметры, переданные скрипту>

Отсюда видим, что без права на чтение запустить скрипт нельзя. Лучше оставьте у файла права на всё только для владельца (опционально - группы), а пользователю разрешите запуск через sudo.

с правами -rwx--x--x
выполняю root-ом chmod o=x /home/user/file права те же и остаются!

Всё правильно. Он выполняется от пользователя? Пользователь читать его может?

запретить его просмотр

Тот, кто исполняет скрипт, должен его сперва прочитать.

Прочитать, скомпилять в промежуточное представление, сменить пользователя, выполнить.

Ой, другой аноним выше уже расписал. Ну да ладно.

Знаешь, shc по сути создает самораспаковывающийся зашифрованный файл, который запускает /bin/sh -c. Извлечь передаваемый шелу для выполнения текст — задача решаемая.

В любом случае это не запуск скрипта, а скомпилированного бинарника.

В sudoers добавляем в соответствующие секции

User_Alias SSZB_USER = твой_юзернейм
Cmnd_Alias SSZB_COMMAND = /путь/до/скрипта
Defaults: SSZB_USER env_reset
SSZB_USER ALL = (юзернейм_владельца_скрипта) NOPASSWD SSZB_COMMAND

sudo -u юзернейм_владельца_скрипта /путь/до/скрипта

Путь до скрипта должен быть абсолютным.

Естественно, прежде всего в твоей системе должно быть установлено sudo.

Супер! через sudo все работает как надо
поправочка

SSZB_USER ALL = (юзернейм_владельца_скрипта) NOPASSWD: SSZB_COMMAND

Defaults: SSZB_USER env_reset

не хватало ":"

Да, это я проглядел.

sudo тоже ругается (":" удалял, без толку)

Там не должно быть пробелов вокруг двоеточия,

Defaults:SSZB_USER env_reset

Заработало!
Только вот какой смысл это команды - не уловил
Без нее же тоже работает

sudo выполняет указанную команду в том шелле, из которого она вызвана, пользовательский шелл может быть изменён персональными настройками, поэтому, чтобы команде, выполняющейся от другого пользователя, достался максимально чистый и дефолтный шелл во избежание того, что что-то пойдёт не так, оттуда выбрасываются все лишние определения. Если нужно наоборот, оставить что-то в окружении из того шелла, который вызвал sudo, то в sudoers после env_reset добавляются соответствующие правила наподобие

Defaults:SSZB_USER env_keep += MY_IMPORTANT_VAR

MY_IMPORTANT_VAR=foo sudo -u username command

все понятно, спасибо