Как правильно сделать read-only пользователя для Linux?

А смысл запрещать писать в домашнюю? Это сильно ограничит его работу, во многих случаях сделает ее невозможной. А так-то не сложно, права на папку и все.

Ну, я бы решил задачу путём запуска шелла. Т.е. юзер попадает не в командную строку, а в оболочку, где есть только такие команды. Оболочка бывает менюшная, с выбором из предложенного.

Вроде, есть шеллы, в которых можно тупо задать набор команд, доступных пациенту. И ничего больше он запустить не может.

Ещё хороший способ упаковать пациента - это chroot. Но там ему надо обеспечить окружение - набор нужных ему программ и библиотек. Сложно, муторно и защищает так себе.