Linux 中的sudo指令

Linux sudo指令详解

原创于 2025-08-30 11:19:23 发布 · 692 阅读

CC 4.0 BY-SA版权

文章标签：

56 篇文章

订阅专栏

40 篇文章

订阅专栏

我们来详细讲解一下 Linux 中极其重要和强大的 sudo 指令。

sudo （Super User do）是一个程序，它允许被授权的用户以另一个用户的安全权限（默认是超级用户 root）来运行命令。

简单来说，它的核心作用是：让普通用户能够安全、受控地执行超级管理员（root）才能执行的命令。

在早期的 Unix/Linux 系统中，管理员通常直接使用 root 账户进行所有操作。但这带来了巨大的风险：

sudo 完美地解决了这些问题：

最小权限原则：用户不需要知道 root 密码，只在需要时临时提升权限。
清晰的审计日志：所有通过 sudo 执行的命令都会被记录（在 /var/log/auth.log 或 /var/log/secure 等位置），可以清楚地看到谁在什么时候执行了什么命令。
精细的权限控制：管理员可以精确配置某个用户只能以 root 权限运行特定的命令，而不能运行其他命令。

最基本的语法非常简单：

sudo <command>

系统会提示你输入当前用户的密码（不是 root 密码），验证通过后，就会以 root 权限执行后面的 <command>。

示例：

输入命令后，你会看到类似的提示：

[sudo] password for username:

输入密码后，命令便会以 root 权限执行。

选项	全称	作用	示例
`-l`	`--list`	列出当前用户被允许和禁止运行的 `sudo` 命令。这是一个非常重要的安全检查命令。	`sudo -l`
`-v`	`--validate`	延长 `sudo` 密码的有效期。默认情况下，输入一次密码后，5分钟内再次使用 `sudo` 不需要密码。使用此选项会重置这个计时器。	`sudo -v`
`-k`	`--reset-timestamp`	强制使 `sudo` 密码有效期失效。下次使用 `sudo` 时必须重新输入密码。	`sudo -k`
`-u`	`--user`	以指定用户的身份运行命令，而不仅仅是 root。	`sudo -u bob whoami` (会输出 `bob`)
`-s`	`--shell`	启动一个具有 root 权限的交互式 shell。退出 shell 后权限恢复。	`sudo -s`
`-i`	`--login`	模拟 root 用户登录，会加载 root 的环境变量和配置文件。比 `sudo -s` 更彻底。	`sudo -i`

这是 sudo 权限控制的核心文件。绝对不建议直接使用文本编辑器（如 vim）编辑此文件！ 因为语法错误可能导致所有 sudo 权限失效，让你无法再获得 root 权限。

正确的编辑方法是使用 visudo 命令：

sudo visudo

这个命令会以一种安全的方式（语法检查）打开 /etc/sudoers 文件。

授予用户所有权限（最常用）：
```
username    ALL=(ALL:ALL) ALL
```
- username：被授权的用户名。
- 第一个 ALL：在任何主机上生效。
- (ALL:ALL)：可以以任何用户和任何用户组的身份运行命令。
- 最后一个 ALL：可以运行任何命令。
授予用户组所有权限：
```
%groupname    ALL=(ALL:ALL) ALL
```
% 符号表示后面跟的是一个用户组。
无需密码：
在命令最后加上 NOPASSWD:：
```
username    ALL=(ALL:ALL) NOPASSWD: ALL
```
（注意：这降低了安全性，请谨慎使用）
精确控制：只允许运行特定命令。
```
username    ALL=(root) /usr/bin/systemctl restart nginx, /usr/bin/systemctl status nginx
```
这样 username 用户就只能以 root 身份重启和查看 nginx 状态，而不能做其他操作。

这是一个常见的困惑点。

特性	`sudo`	`su`
密码	输入当前用户的密码	输入目标用户（默认为 root）的密码
权限提升	临时性，只针对一条命令	持续性，会启动一个新的 shell，在该 shell 中一直拥有高权限
审计	有详细日志，可追踪	无详细日志，只知道用户切换了身份
灵活性	非常灵活，可以精细控制	很死板，要么有全部权限，要么没有

现代最佳实践：禁用 root 登录，并配置一个主要用户使用 sudo 来管理系统，而不是使用 su 或直接登录 root。

关键点	说明
核心功能	让普通用户安全、受控地以高权限（如 root）执行命令。
安全优势	遵循最小权限原则，提供完整的审计日志。
基本命令	`sudo <command>`
配置命令	永远使用 `sudo visudo` 来编辑 `/etc/sudoers` 文件。
查看权限	使用 `sudo -l` 查看自己能被允许执行哪些命令。
与 `su` 区别	`sudo` 用当前用户密码，临时提权；`su` 用目标用户密码，持续提权。