Там должен так или иначе установить переменную среды только для чтения?

В среде стандартного процесса нет ничего для создания переменной только для чтения, только не окружает, имеют то понятие для их собственной среды/переменных (эти два накладываются способами, но они должны быть поняты как отличные). То же касается свойств типа как целое число, массив, функция и т.д.

Вы рассмотрели использование ограниченной оболочки, как rbash? Вы могли установить rbash работать readonly TEST_ENV) в его сценарии запуска. rbash может быть слишком строгим, хотя, но это обращается до хорошей степени к повышению проблем комментариев.

Среда является частью чтения-записи каждого процесса (см. здесь и здесь для деталей), мало того, что процесс может записать непосредственно в часть данных (через environ[]), это может изменить указатели на него. Вы смогли делать что-то с этим (т.е. перемещать к странице только для чтения), если Вы являетесь опытными в блоке и можете найти свой путь вокруг crt запустите код, но я не рекомендую это ;-)

Если существуют определенные команды, которые пользователи выполняют, который должен иметь определенную среду, Вы можете устанавливать только группу - выполняют и используют sudo установить корректные переменные (например, через /etc/environment или env_file директива) и выполненный команда как определенная группа (сохраняющий uid). Поддержка последних версий noexec на большинстве платформ, которые могут использоваться для предотвращения выполнения новой оболочки (хотя банка может повредить программы который законно fork() и exec()).

Как последняя опция Вы можете использовать LD_PRELOAD и Ваша собственная библиотека для установки управляемой среды для некоторых/всех пользовательских процессов путем обертывания соответствующих функций libc (getenv() putenv() и т.д.). libfaketime делает точно это в течение времени связанные функции libc. Существует менее известный инструмент, названный timetravel, который делает подобный, но также и рычаги setenv() и getenv() чтобы удержать контроль над LD_PRELOAD перед лицом бедственной ситуации.

Самый устойчивый подход должен отфильтровать setenv() unsetenv() putenv() (и возможно clearnv()) вызовы для предотвращения модификации и фильтра getenv() так, чтобы это всегда возвратило необходимое значение (возможно из файла). Этот подход не предотвратит непосредственное управление памятью среды через environ[], но, пока Вы управляете getenv() любой процесс, который полагается на libc API, должен видеть Ваше значение. bash использование environ[] непосредственно, когда это инициализирует, но также и вызовы getenv().

Переменные только для чтения могут быть установлены в POSIX совместимые оболочки с помощью readonly команда.

readonly VAR=foo   # POSIX
declare -r VAR=foo # bash
export VAR

Это никоим образом не средство защиты, чтобы препятствовать тому, чтобы пользователь изменил его. Пользователь может всегда порождать новую оболочку и заменять переменную.