在 Linux 系统运维中，权限管理是保障系统安全的核心环节。为避免因长期使用 root 超级权限引发误操作或安全漏洞，运维人员通常以非特权用户身份登录系统，仅在需要时通过专用工具临时获取管理员权限。本文将深入解析 Linux 中最常用的两种提权工具——su与sudo，结合实战案例讲解其用法、差异及安全最佳实践，助力运维人员构建更安全、高效的权限管理体系。

一、su 命令：传统的用户身份切换工具

su（Switch User）是 Linux 系统中最基础的身份切换命令，其核心功能是从当前用户切换到指定用户，从而获取对应权限。该命令的关键差异在于是否启动“登录 shell”，这直接决定了环境变量的加载方式和操作环境的完整性。

1.核心用法：登录 shell 与非登录 shell 的区别

使用su时，是否添加参数-l（或简写-），会触发两种截然不同的执行模式，具体差异如下表所示，这也是运维操作中极易混淆且影响安全的关键点：

若省略username参数，默认切换至 root 超级用户，这是日常运维中最常用的场景，需重点关注两种模式的环境差异。

2.实战演示：不同场景下的 su 用法

场景一：切换至 root 用户，验证环境差异

以普通用户laoma为例，分别使用两种模式切换至 root，查看环境变量的区别：

# 非登录 shell 模式：切换身份但保留原用户环境[csh@centos7 ~]$suPassword:# 输入 root 密码（示例：redhat）[root@centos7 laoma]# env | grep csh # 残留原用户环境变量LOGNAME=cshMAIL=/var/spool/mail/cshPATH=/usr/local/bin:/usr/bin:/usr/local/sbin:/usr/sbin:/home/csh/.local/bin:/home/csh/binPWD=/home/cshUSER=csh# 登录 shell 模式：完全重置为 root 环境[csh@centos7 ~]$su-lPassword:# 输入 root 密码Last login: Mon Nov715:40:31 CST2022on pts/2[root@centos7 ~]# set | grep csh # 无任何原用户环境变量，环境纯净[root@centos7 ~]#

通过上述演示可明确：非登录 shell 模式下，当前工作目录仍为原用户家目录，且环境变量未完全重置，易引发权限操作与环境不匹配的问题；而登录 shell 模式能确保操作环境与目标用户身份完全一致，是更安全的选择。

场景二：创建测试用户，以指定用户身份执行单次命令

在运维工作中，常需以普通用户身份执行特定命令，此时可结合-c参数实现“单次执行、无需切换身份”的需求，同时需注意命令的引号包裹规则：

# 1. 创建测试用户 laowang 并设置密码[root@centos7 ~]# useradd laowang[root@centos7 ~]# echo redhat | passwd --stdin laowang # 非交互式设置密码Changing passwordforuser laowang. passwd: all authentication tokens updated successfully.[csh@centos7 ~]$greplaowang /etc/passwd# 验证用户创建成功laowang:x:1001:1001::/home/laowang:/bin/bash# 2. 以 laowang 身份执行单次命令（多参数需用单引号包裹）[csh@centos7 ~]$su-llaowang-c'cat /etc/hosts'# 正确用法：单引号包裹完整命令Password:# 输入 laowang 密码127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4 ::1 localhost localhost.localdomain localhost6 localhost6.localdomain6[csh@centos7 ~]$su-llaowang-ccat/etc/hosts# 错误用法：未包裹命令，参数解析异常Password: hello hello# 执行结果异常，因系统未将"cat /etc/hosts"视为整体命令

场景三：处理 /sbin/nologin 系统用户的切换问题

Linux 系统中存在部分系统用户（如adm、nobody），其默认 shell 为/sbin/nologin，禁止直接登录。若需临时切换此类用户执行操作，需通过-s参数指定临时 shell，且该操作仅 root 用户有权限执行：

# 直接切换报错：该账户不可用[root@centos7 ~]# su -l adm -c idThis account is currently not available.# 临时指定 bash shell 执行命令（仅 root 可执行）[root@centos7 ~]# su -l adm -s /bin/bash -c iduid=3(adm)gid=4(adm)组=4(adm)# 临时登录 adm 用户，修复提示符异常问题[root@centos7 ~]# su -l adm -s /bin/bash-bash-4.2$# 提示符异常，因 adm 家目录缺少 bash 配置文件# 修复方案：复制系统默认配置骨架至 adm 家目录[root@centos7 ~]# cp /etc/skel/{.bash_profile,.bashrc} /var/adm[root@centos7 ~]# su -l adm -s /bin/bash上一次登录：三7月2316:16:32 CST 2025pts/0 上[adm@centos7 ~16:17:55]$# 提示符恢复正常

二、sudo 命令：安全可控的临时提权工具

相较于su命令，sudo（Superuser Do）是更安全、更灵活的临时提权工具，也是企业级 Linux 运维中首选的权限管理方式。其核心优势在于实现了“精细化权限管控”，可避免 root 密码共享，同时保留完整的操作审计日志。

1.su 与 sudo 的核心差异对比

为更清晰地理解两者的适用场景，现将su与sudo的优缺点、核心特性对比如下，帮助运维人员根据实际场景选择合适的工具：

2.sudo 基础语法与核心用法

sudo的核心语法简洁明了，通过参数可灵活控制提权范围和执行方式，基础语法如下：

sudo[-u username]command

其中，-u username用于指定以哪个用户身份执行命令（默认以 root 身份执行），command为需要执行的具体命令。以下通过实战案例演示其核心用法：

# 场景1：有 sudo 权限的用户，临时提权执行命令（输入自身密码）[csh@centos7 ~]$sudoid[sudo]passwordforcsh:# 输入 csh 自身密码，而非 root 密码uid=0(root)gid=0(root)groups=0(root)context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023# 场景2：无 sudo 权限的用户，执行命令报错并记录审计日志[laowang@centos7 ~]$sudoidWe trust you have received the usual lecture from thelocalSystem Administrator. It usually boils down to these three things:#1) Respect the privacy of others.#2) Think before you type.#3) With great power comes great responsibility.[sudo]passwordforlaowang: laowang is notinthe sudoers file. This incident will be reported.# 操作被记录，触发安全告警

3.sudo 权限配置：精细化管控的核心

sudo 的权限管控核心依赖于/etc/sudoers配置文件，为避免直接修改该文件引发语法错误导致权限异常，Linux 系统提供了专用配置工具visudo（该工具会自动检查语法错误）。同时，为便于管理，建议通过/etc/sudoers.d/目录添加自定义配置（该目录下的所有文件会被自动加载），避免直接修改主配置文件。

配置前提：使用 visudo 工具编辑配置

[root@centos7 ~]# export EDITOR=vim # 指定默认编辑器为 vim（可选）[root@centos7 ~]# visudo # 打开 sudoers 配置文件，自动进行语法检查

主配置文件中包含两条核心默认规则，其中%wheel表示“wheel 组中的所有用户”，组名前需加%符号：

# 核心默认规则rootALL=(ALL)ALL# root 用户可在所有主机，以所有用户身份，执行所有命令%wheelALL=(ALL)ALL# wheel 组用户可在所有主机，以所有用户身份，执行所有命令

实战配置案例：三种常见权限管控场景

以下以用户laowang为例，演示三种常见的 sudo 权限配置场景，覆盖“全权限授权”“免密授权”“特定命令授权”，满足不同运维场景需求：

案例1：授予用户全权限，可执行所有 root 命令

配置规则：允许laowang在所有主机，以所有用户身份，执行所有命令，需输入自身密码验证。

# 方式1：直接编辑 sudoers 文件（通过 visudo）laowangALL=(ALL)ALL# 方式2：在 /etc/sudoers.d/ 目录创建自定义配置文件（推荐）[root@centos7 ~]# echo 'laowang ALL=(ALL) ALL' >> /etc/sudoers.d/laowang[root@centos7 ~]# cat /etc/sudoers.d/laowang # 验证配置laowangALL=(ALL)ALL# 验证权限[laowang@centos7 ~]$sudoid[sudo]passwordforlaowang:# 输入自身密码uid=0(root)gid=0(root)groups=0(root)context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

案例2：授予用户免密全权限，无需输入密码即可执行所有命令

配置规则：在案例1的基础上，添加NOPASSWD:关键字，实现免密提权，适用于自动化脚本执行等场景（需严格控制授权范围）。

# 配置免密权限[root@centos7 ~]# echo 'laowang ALL=(ALL) NOPASSWD:ALL' > /etc/sudoers.d/laowang# 验证权限：无需输入密码，直接执行命令[laowang@centos7 ~]$sudoiduid=0(root)gid=0(root)groups=0(root)context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

案例3：授予用户仅能执行特定命令，实现精细化权限管控

配置规则：仅允许laowang执行用户管理相关命令（useradd、usermod、userdel），禁止执行其他命令，这是企业运维中最安全的授权方式。

# 配置特定命令权限（需指定命令绝对路径，避免环境变量篡改风险）[root@centos7 ~]# echo 'laowang ALL=(ALL) /sbin/useradd,/sbin/usermod,/sbin/userdel' > /etc/sudoers.d/laowang# 验证权限：执行授权命令成功，执行未授权命令失败[laowang@centos7 ~]$sudoid# 未授权命令，执行失败[sudo]passwordforlaowang: Sorry, user laowang is not allowed to execute'/bin/id'as root on centos7.wanho.net.[laowang@centos7 ~]$sudouseraddlaozhang# 授权命令，执行成功[sudo]passwordforlaowang:[laowang@centos7 ~]$idlaozhang# 验证用户创建成功uid=1002(laozhang)gid=1002(laozhang)groups=1002(laozhang)

进阶配置：命令别名（Cmnd_Alias）

当需要授权的命令较多时，可通过“命令别名”简化配置，将同类命令归为一个别名，便于管理和维护：

# 定义命令别名：SOFTWARE 代表软件管理相关命令Cmnd_Alias SOFTWARE=/bin/rpm, /usr/bin/up2date, /usr/bin/yum# 授权 sys 组用户执行 SOFTWARE 别名及其他系统管理命令%sys ALL=NETWORKING, SOFTWARE, SERVICES, STORAGE, DELEGATING, PROCESSES, LOCATE, DRIVERS

4.权限管控风险警示：避免过度授权

在配置 sudo 权限时，需严格遵循“最小权限原则”，避免因过度授权引发安全漏洞。以下以用户xiaoniuma为例，演示过度授权可能引发的提权风险，及对应的还原方案：

# 1. 创建测试用户并配置过度授权（仅授权 vim 命令）[root@centos7 ~]# useradd xiaoniuma[root@centos7 ~]# echo 123 | passwd --stdin xiaoniuma[root@centos7 ~]# echo 'xiaoniuma ALL=(ALL) /bin/vim' > /etc/sudoers.d/xiaoniuma# 2. 风险演示：用户通过 vim 修改 /etc/passwd，将自身 UID 改为 0（提权为 root）[xiaoniuma@centos7 ~]$sudovim/etc/passwd# 修改 xiaoniuma 的 UID 为 0（root 用户 UID 为 0）xiaoniuma:x:0:1001::/home/xiaoniuma:/bin/bash# 3. 验证提权结果：切换用户后直接获得 root 权限[xiaoniuma@centos7 ~]$su-lxiaoniuma 密码：# 输入 xiaoniuma 自身密码[root@centos7 ~]# # 成功提权为 root，安全风险极高# 4. 环境还原方案（root 用户执行）[xiaoniuma@centos7 ~]$sudovim/etc/passwd# 将 UID 改回 1001xiaoniuma:x:1001:1001::/home/xiaoniuma:/bin/bash[root@centos7 ~]# userdel -r xiaoniuma # 删除测试用户[root@centos7 ~]# rm -f /etc/sudoers.d/xiaoniuma # 删除过度授权配置

核心警示：在分配 sudo 权限时，切记只授予用户“特定功能的命令”（如用户管理、软件安装相关命令），而非通用工具（如vim、bash），避免用户通过通用工具篡改系统配置实现非法提权。

三、Linux 提权管理最佳实践总结

结合上述实战解析，为构建安全、高效的 Linux 提权管理体系，总结以下6条核心最佳实践，适用于各类企业级运维场景：

• 优先使用 sudo，谨慎使用 su：sudo 可实现临时提权，操作完成后自动退回普通用户状态，大幅降低误操作和权限泄露风险；仅在需要长时间执行多个管理员操作时使用 su，且操作完成后立即通过exit命令退出 root 身份，避免长期保持高权限状态。

• 精细化配置 sudoers，遵循最小权限原则：通过visudo工具配置权限，优先使用/etc/sudoers.d/目录添加自定义配置，避免直接修改主配置文件；仅授予用户完成工作所需的最小权限，禁止授予无限制的ALL权限，尤其避免授权通用编辑工具（如 vim）。

• 使用登录 shell 模式，保证环境纯净：使用su时，优先添加-l（或-）参数启动登录 shell，确保操作环境与目标用户身份一致，避免因环境变量继承引发的权限混淆问题。

• 指定命令绝对路径，防范环境变量篡改风险：配置 sudo 权限或执行提权命令时，尽量使用命令的绝对路径（如sudo /usr/bin/yum update），避免因环境变量被篡改导致恶意命令执行。

• 禁止在脚本中硬编码 sudo 密码：避免在自动化脚本中通过管道传递 sudo 密码（如echo password | sudo -S command），可通过配置NOPASSWD实现特定命令免密执行，或使用更安全的权限管理工具（如 Ansible 结合 sudo 免密配置）。

• 定期审计操作日志，及时发现异常行为：sudo 的所有操作均记录在/var/log/secure（CentOS）或/var/log/auth.log（Ubuntu）中，运维人员需定期检查日志，追踪权限使用情况，及时发现非法提权、异常命令执行等安全风险。

此外，若需类似su的交互式 root 环境，可使用sudo -i命令，该命令会加载 root 的完整环境变量，同时保留 sudo 的操作日志记录功能，兼顾便捷性与安全性。

四、总结

Linux 提权管理的核心是“安全与便捷的平衡”，su作为传统的身份切换工具，适用于少量、长时间的管理员操作，但存在权限粗放、无审计日志的短板；sudo则通过精细化权限管控、操作审计、无需共享 root 密码等优势，成为企业级运维的首选工具。

在实际运维工作中，需结合场景合理选择工具，严格遵循最小权限原则配置权限，定期审计操作日志，才能有效防范权限泄露、非法提权等安全风险，构建稳定、安全的 Linux 系统运行环境。希望本文的实战解析与最佳实践，能为广大运维人员的权限管理工作提供参考与帮助。