Linux 用户与 sudo：日常操作为什么要区分权限

文件权限之外，还需要理解操作身份。普通用户、用户组和 sudo 分别解决不同问题，避免长期用最高权限处理所有日常任务。

学习整理：2026-10-29。以下命令、地址和账号均为课程实验示例，按实际环境替换；涉及安装、覆盖配置或服务启停的操作先在隔离环境练习，不代表本站已经实施。

一、账号文件

/etc/passwd：用户基本信息。
/etc/shadow：密码哈希和有效期。
/etc/group：用户组。
/etc/gshadow：组密码和管理员信息。

查看：

id username
getent passwd username
getent group wheel
last
lastlog
who
w

二、用户管理

sudo useradd -m opsuser
sudo passwd opsuser
sudo usermod -aG wheel opsuser
sudo usermod -L opsuser
sudo usermod -U opsuser
# 删除账号及家目录是独立清理操作，确认无重要数据后另行处理

usermod添加附加组时应使用-aG；缺少-a可能覆盖原有附加组。

三、权限模型

-rwxr-x---
 ||| ||| |||
 用户 组 其他

数值：

r = 4
w = 2
x = 1

常见权限：

644：文件所有者可读写，其他人只读。
600：仅所有者可读写，常用于私钥。
755：目录或程序常用。
700：仅所有者能访问。

chmod 640 app.conf
chown appuser:appgroup app.conf
# 不要给程序目录内所有普通文件统一递归增加执行权限

不要为了快速解决问题直接chmod 777。应明确服务以哪个用户运行，需要什么最小权限。

四、目录权限

对目录而言：

能否删除文件主要取决于父目录权限，不只是文件自身权限。

五、umask

umask
umask -S

默认文件基数通常为666，目录为777，再去除umask中的权限。

六、特殊权限

SUID：执行文件时临时使用文件所有者身份。
SGID：目录中新文件继承目录所属组。
Sticky Bit：限制共享目录中普通用户删除他人条目，目录所有者和特权用户另有权限。

find / -xdev -perm -4000 -type f 2>/dev/null
chmod 2770 /srv/shared
chmod 1777 /srv/dropbox

七、ACL

getfacl file
setfacl -m u:alice:r-- file
setfacl -m d:g:dev:rwx /srv/project
setfacl -b file

ACL用于传统所有者/组/其他权限无法满足的场景。

八、sudo

使用visudo编辑规则：

sudo visudo
sudo visudo -f /etc/sudoers.d/ops

示例：

%ops ALL=(root) /usr/bin/systemctl --no-pager status nginx

生产环境不应随意配置NOPASSWD: ALL。命令路径必须使用command -v确认。

隔离环境练习计划

创建dev组和两个用户。
建立/srv/project，使组成员可协作写入。
设置SGID，验证新文件继承组。
为一个额外用户添加只读ACL。
使用sudoers允许用户只查看Nginx状态。

我的验收重点

先说清每个组件和参数解决的问题，再在实验环境记录正常结果、错误现象与恢复步骤。配置能通过语法检查只是起点，还应验证实际功能。本文保留为学习笔记，不把计划中的多机部署或演练写成本站完成记录。

sudo 与账号锁定的补充

先确认 ops 组与用户存在，修改后用 visudo -c 检查、sudo -l -U 实验用户名核对授权，保留原管理员会话。systemctl status 可能启用分页器，最小授权示例应带 --no-pager 并限制确切参数，不授权编辑器、shell 或通配命令。usermod -L 只锁密码，不等于阻止公钥登录；需要停用账号时应另行评估过期、登录策略及现有会话。Sticky Bit 还允许目录所有者及有权限的管理员删除条目，并非绝对只有文件所有者。

内容复核与修订：2026-10-29。实验示例与本站运行记录分别说明；原始归档日期保留。