Linux sudo 和 su 有什么区别？sudo 权限怎么配置？

Question

仓乃文 · Accepted Answer

sudo 和 su 都能获取 root 权限，但机制和安全级别完全不同。su 是切换用户，需要知道目标用户密码；sudo 是以其他用户身份执行命令，只需知道自己的密码。生产环境应该用 sudo 而不是 su。

核心区别：
```
| 维度        | su                    | sudo                   |
|------------|----------------------|------------------------|
| 全称       | switch user          | superuser do           |
| 需要的密码  | 目标用户密码（root密码）| 当前用户密码            |
| 权限粒度   | 全部权限              | 可精细控制允许的命令     |
| 审计日志   | 无                    | 记录谁执行了什么命令     |
| 会话       | 切换到新用户会话       | 只执行单条命令          |
| 安全性     | 低（共享root密码）     | 高（最小权限原则）       |
```

使用示例：
```bash
# su：切换用户
su          # 切换到 root，需要 root 密码
su -        # 切换到 root 并加载环境变量
su - appuser # 切换到 appuser

# sudo：以 root 身份执行命令
sudo ls /root        # 查看 root 目录
sudo systemctl restart nginx  # 重启服务
sudo -u appuser ls /home/appuser  # 以 appuser 身份执行

# 编辑需要 root 权限的文件
sudo vi /etc/nginx/nginx.conf
# 或更安全的方式
sudoedit /etc/nginx/nginx.conf
```

sudo 权限配置：
```bash
# 编辑 sudoers 文件（必须用 visudo，不要直接 vi）
sudo visudo

# 基本语法：
# 用户  主机=(以谁的身份) 命令

# 1. 允许用户执行所有命令（等同 root）
username ALL=(ALL) ALL

# 2. 允许用户无密码执行所有命令
username ALL=(ALL) NOPASSWD: ALL

# 3. 只允许重启 nginx（最小权限，推荐）
username ALL=(ALL) /usr/bin/systemctl restart nginx

# 4. 允许多个命令
username ALL=(ALL) /usr/bin/systemctl restart nginx, /usr/bin/systemctl restart mysql

# 5. 允许组内所有用户使用 sudo
%sudo ALL=(ALL) ALL
%wheel ALL=(ALL) ALL   # CentOS

# 6. 添加用户到 sudo 组
sudo usermod -aG sudo username   # Ubuntu
sudo usermod -aG wheel username   # CentOS
```

常见问题：
```bash
# 问题 1：sudo 报 "user not in sudoers file"
# 原因：用户不在 sudoers 中
# 修复：用 root 账号执行 visudo 添加用户

# 问题 2：sudo 每次都要输密码，很烦
# 临时解决：sudo 密码缓存默认 15 分钟
# 永久解决（仅限个人开发机）：
username ALL=(ALL) NOPASSWD: ALL
# 生产环境不要这样配！

# 问题 3：sudo 找不到命令
# sudo 的 PATH 和普通用户不同
sudo env | grep PATH
# 修复：用绝对路径
sudo /usr/local/bin/mycommand
```

补充说明：
- 规则：生产环境用 sudo，不用 su；用 visudo，不用 vi /etc/sudoers
- sudo 最小权限原则：只授权需要的命令，不要给 ALL
- sudo 有完整的审计日志：/var/log/auth.log（Ubuntu）或 /var/log/secure（CentOS）
- 不要在脚本中用 echo password | sudo -S，密码会出现在进程列表和日志中
- 忘记 root 密码时，可以用 sudo 用户的 sudo passwd root 重置