源码解读Linux的limits.conf文件

# vi /etc/security/limits.conf
* soft nofile 100000
* hard nofile 100000

/usr/lib64/security/pam_limits.so
/usr/lib/security/pam_limits.so

/usr/lib64/libpam.so.0 -> libpam.so.0.83.1
/usr/lib64/libpam.so.0.83.1
/usr/lib64/libpam_misc.so.0.82.0
/usr/lib/libpam.so.0 -> libpam.so.0.83.1
/usr/lib/libpam.so.0.83.1
/usr/lib/libpam_misc.so.0.82.0

# service crond restart
Redirecting to /bin/systemctl restart  crond.service
# file /bin/systemctl
/bin/systemctl: ELF 64-bit LSB shared object, x86-64, version 1 (SYSV)
# systemctl crond restart # 重启crontab服务进程crond

#if !defined(linux) && !defined(__linux)
#warning THIS CODE IS KNOWN TO WORK ONLY ON LINUX !!!
#endif

~/Linux-PAM-1.3.1]$ ./configure --prefix=/usr/local/Linux-PAM-1.3.1
make

// pam_limits.c
#define CONF_FILE (pl->conf_file != NULL)?pl->conf_file:LIMITS_FILE

// pam_limits.c
static int
parse_config_file(pam_handle_t *pamh, const char *uname, uid_t uid, gid_t gid,
int ctrl, struct pam_limit_s *pl)
{
FILE *fil;
char buf[LINE_LENGTH];
/* check for the LIMITS_FILE */
if (ctrl & PAM_DEBUG_ARG)
pam_syslog(pamh, LOG_DEBUG, "reading settings from '%s'", CONF_FILE);
fil = fopen(CONF_FILE, "r"); // 打开配置文件，跟参数“pl”有关系
if (fil == NULL) {
pam_syslog (pamh, LOG_WARNING,
"cannot read settings from %s: %m", CONF_FILE);
return PAM_SERVICE_ERR;
}

# Makefile.am
modules/pam_limits/Makefile.am: -DLIMITS_FILE_DIR=\"$(limits_conf_dir)/*.conf\" \
modules/pam_limits/Makefile.am: -DLIMITS_FILE=\"$(SCONFIGDIR)/limits.conf\"

# configure.ac
AC_ARG_ENABLE(sconfigdir,
AS_HELP_STRING([--enable-sconfigdir=DIR],[path to module conf files @<:@default=$sysconfdir/security@:>@]),
SCONFIGDIR=$enableval, SCONFIGDIR=$sysconfdir/security)
AC_SUBST(SCONFIGDIR)
dnl and some hacks to use /etc and /lib
test "${prefix}" = "NONE" && prefix="/usr"
if test ${prefix} = '/usr'
then
dnl If we use /usr as prefix, use /etc for config files
if test ${sysconfdir} = '${prefix}/etc'
then
sysconfdir="/etc"
fi

# vi /etc/pam.d/login
session    required     pam_selinux.so close
session    required     pam_selinux.so open

int
pam_sm_open_session (pam_handle_t *pamh, int flags UNUSED, int argc, const char **argv);
// libpam/pam_handlers.c:  sym = "pam_sm_open_session";

// pam_handlers.c
// 被_pam_parse_conf_file直接调用，
// 和被_pam_init_handlers、_pam_load_conf_file一级间接调用
int _pam_add_handler(pam_handle_t *pamh
, int handler_type, int other, int stack_level, int type
, int *actions, const char *mod_path
, int argc, char **argv, int argvlen)
{
struct loaded_module *mod = NULL;
。。。。。。
if ((handler_type == PAM_HT_MODULE ||
handler_type == PAM_HT_SILENT_MODULE) &&
mod_path != NULL) {
if (mod_path[0] == '/') {
mod = _pam_load_module(pamh, mod_path, handler_type);
} else if (asprintf(&mod_full_path, "%s%s",
DEFAULT_MODULE_PATH, mod_path) >= 0) {
mod = _pam_load_module(pamh, mod_full_path, handler_type);
_pam_drop(mod_full_path);
} else {
pam_syslog(pamh, LOG_CRIT, "cannot malloc full mod path");
return PAM_ABORT;
}
if (mod == NULL) {
/* if we get here with NULL it means allocation error */
return PAM_ABORT;
}
。。。。。。
/* point handler_p's at the root addresses of the function stacks */
switch (type) {
。。。。。。
case PAM_T_SESS:
handler_p = &the_handlers->open_session;
sym = "pam_sm_open_session";
handler_p2 = &the_handlers->close_session;
sym2 = "pam_sm_close_session";
break;
。。。。。。
}
if ((mod_type == PAM_MT_DYNAMIC_MOD) &&
!(func = _pam_dlsym(mod->dl_handle, sym)) ) {
pam_syslog(pamh, LOG_ERR, "unable to resolve symbol: %s", sym);
}
。。。。。。
}

/* ----------------- The Linux-PAM return values ------------------ */
#define PAM_SUCCESS 0  /* Successful function return */
#define PAM_OPEN_ERR 1  /* dlopen() failure when dynamically */
/* loading a service module */
#define PAM_SYMBOL_ERR 2 /* Symbol not found */
#define PAM_SERVICE_ERR 3 /* Error in service module */
#define PAM_SYSTEM_ERR 4 /* System error */

// pam_limits.c
static int
parse_config_file(pam_handle_t *pamh, const char *uname, uid_t uid, gid_t gid,
int ctrl, struct pam_limit_s *pl)
{
FILE *fil;
char buf[LINE_LENGTH]; // #define LINE_LENGTH 1024
// 以只读方式打开limits.conf
fil = fopen(CONF_FILE, "r");
if (fil == NULL) {
pam_syslog (pamh, LOG_WARNING,
"cannot read settings from %s: %m", CONF_FILE);
return PAM_SERVICE_ERR;
}
/* start the show */
// 一行行遍历limits.conf
while (fgets(buf, LINE_LENGTH, fil) != NULL) {
line = buf;
/* skip the leading white space */
while (*line && isspace(*line)) // 跳过空行
line++;
/* Rip off the comments */
tptr = strchr(line,'#'); // 去掉注释
if (tptr)
*tptr = '\0';
/* Rip off the newline char */
tptr = strchr(line,'\n'); // 删除换行符，注意并不包括回车符
if (tptr)
*tptr = '\0';
/* Anything left ? */
if (!strlen(line)) // 经过上面几步折腾，可能成了空行
continue;
// 直接调用sscanf解析配置项
//
// 配置行示例：
// * soft nofile 100000
//
// domain：作用域名，“*”表示对所有用户有效
i = sscanf(line,"%s%s%s%s", domain, ltype, item, value);
。。。。。。
// 下面只看两个常用配置：domain配置为“*”或指定的用户名
// 可以看到在加载limits.conf，主要是设置输出参数pl的值。
// 而parse_config_file由pam_sm_open_session调用，亦即模块被加载时被调用。
//
// 也因此修改limits.conf是不能立即生效的，
// 除非重启该进程，而子进程又继承父进程的设置。
//
// 假设程序跑在crontab中，则应重启crond进程，
// 比如CentOS中重启crond：service crond restart
// 虽然crontab中的进程是由crond拉起来的，但它并加载PAM模块，
// 原因是crond在拉起子进程时，对子进程关闭了所有描述符。
//
// process_limit针对当前调用进程进行limit设置
if (strcmp(domain, "*") == 0)
// limit was set by a default entry
process_limit(pamh, LIMITS_DEF_DEFAULT, ltype, item, value, ctrl, pl);
。。。。。。
if (strcmp(uname, domain) == 0) /* this user have a limit */
// limit was set by an user entry
process_limit(pamh, LIMITS_DEF_USER, ltype, item, value, ctrl, pl);
}
}

/* now the session stuff */
int
pam_sm_open_session (pam_handle_t *pamh, int flags UNUSED,
int argc, const char **argv)
{
struct pam_limit_s plstruct;
struct pam_limit_s *pl = &plstruct;
。。。。。。
// 调用parse_config_file解析limits.conf，
// 配置行解析结果存储在pl中（亦即plstruct）
retval = parse_config_file(pamh, pwd->pw_name, pwd->pw_uid, pwd->pw_gid, ctrl, pl);
。。。。。。
// 使配置立即生效（setup_limits调用系统函数setrlimit）
retval = setup_limits(pamh, pwd->pw_name, pwd->pw_uid, ctrl, pl);
。。。。。。
return PAM_SUCCESS;
}

// pam_start.c
int pam_start (
const char *service_name,
const char *user,
const struct pam_conv *pam_conversation,
pam_handle_t **pamh)
{
。。。。。。
if ( _pam_init_handlers(*pamh) != PAM_SUCCESS ) {
。。。。。。
}
// pam_handlers.c
int _pam_init_handlers(pam_handle_t *pamh)
{
。。。。。。
// 函数_pam_parse_conf_file负责解析libpam.so的配置文件，
// 这些配置文件一般位于目录/etc/pam.d下，如：
// # ls -l /etc/pam.d/pass*
// -rw-r--r-- 1 root root 188 6月  10 2014 /etc/pam.d/passwd
// -rw-r--r-- 1 root root 974 12月 29 2016 /etc/pam.d/password-auth
retval = _pam_parse_conf_file(pamh, f, NULL, PAM_T_ANY, 0);
。。。。。。
}

# ldd /usr/lib/systemd/systemd
linux-vdso.so.1 =>  (0x00007ffce5b72000)
/$LIB/libonion.so => /lib64/libonion.so (0x00007f2430f56000)
libselinux.so.1 => /lib64/libselinux.so.1 (0x00007f2430d31000)
libcap.so.2 => /lib64/libcap.so.2 (0x00007f2430b2c000)
libpam.so.0 => /lib64/libpam.so.0 (0x00007f243091d000)
libaudit.so.1 => /lib64/libaudit.so.1 (0x00007f24306f5000)
libkmod.so.2 => /lib64/libkmod.so.2 (0x00007f24304df000)
libmount.so.1 => /lib64/libmount.so.1 (0x00007f24302a0000)
librt.so.1 => /lib64/librt.so.1 (0x00007f2430098000)
libgcc_s.so.1 => /lib64/libgcc_s.so.1 (0x00007f242fe82000)
libpthread.so.0 => /lib64/libpthread.so.0 (0x00007f242fc66000)
libc.so.6 => /lib64/libc.so.6 (0x00007f242f8a2000)
/lib64/ld-linux-x86-64.so.2 (0x00007f243105c000)
libdl.so.2 => /lib64/libdl.so.2 (0x00007f242f69e000)
libpcre.so.1 => /lib64/libpcre.so.1 (0x00007f242f43d000)
liblzma.so.5 => /lib64/liblzma.so.5 (0x00007f242f218000)
libattr.so.1 => /lib64/libattr.so.1 (0x00007f242f013000)
libcap-ng.so.0 => /lib64/libcap-ng.so.0 (0x00007f242ee0d000)
libz.so.1 => /lib64/libz.so.1 (0x00007f242ebf7000)
libblkid.so.1 => /lib64/libblkid.so.1 (0x00007f242e9ba000)
libuuid.so.1 => /lib64/libuuid.so.1 (0x00007f242e7b5000)
# ldd /usr/sbin/crond
linux-vdso.so.1 =>  (0x00007ffef31a5000)
/$LIB/libonion.so => /lib64/libonion.so (0x00007f87b89e5000)
libselinux.so.1 => /lib64/libselinux.so.1 (0x00007f87b8416000)
libpam.so.0 => /lib64/libpam.so.0 (0x00007f87b8207000)
libdl.so.2 => /lib64/libdl.so.2 (0x00007f87b8003000)
libaudit.so.1 => /lib64/libaudit.so.1 (0x00007f87b7ddb000)
libc.so.6 => /lib64/libc.so.6 (0x00007f87b7a17000)
libpcre.so.1 => /lib64/libpcre.so.1 (0x00007f87b77b6000)
liblzma.so.5 => /lib64/liblzma.so.5 (0x00007f87b7591000)
/lib64/ld-linux-x86-64.so.2 (0x00007f87b88cc000)
libcap-ng.so.0 => /lib64/libcap-ng.so.0 (0x00007f87b738b000)
libpthread.so.0 => /lib64/libpthread.so.0 (0x00007f87b716f000)

# systemctl restart crond

# systemctl status
● Jian.mooon
State: degraded
Jobs: 0 queued
Failed: 2 units
Since: 二 2017-10-24 02:38:50 CST; 1 years 3 months ago
CGroup: /
。。。。。。

# systemctl reboot

# systemctl poweroff

# systemctl suspend

# systemctl hibernate

1) 系统启动 -> 启动初始化进程systemd -> 进程sytemd加载libpam.so模块
2) libpam.so根据/etc/pam.d决定是否加载pam_limits.so等
3) 在加载pam_limits.so时，会读取/etc/security/limits.conf
4) 重启crond等，实际是向systemd发重启指令
5) 一句话：如果要使用limits.conf生效，一定要有加载pam_limits.so，如果修改limits.conf，至少要让pam_limits.so重读limits.conf。