普通用户需通过sudo授权才能关机或重启，核心是精准控制权限而非开放所有；应授权/bin/systemctl poweroff、reboot等命令，推荐用/etc/sudoers.d/配置免密执行，避免setuid等高危操作。
普通用户默认不能直接关机或重启系统，必须通过 sudo 显式授权。核心不是“开放所有权限”，而是精准控制哪些用户、在什么条件下、能执行哪几个关机类命令。关键在于安全、可审计、不破坏 systemd 机制。
明确可用的关机/重启命令路径
在现代 Linux（如 Arch、Ubuntu、CentOS）中，/sbin/shutdown、/sbin/reboot、/sbin/halt、/sbin/poweroff 基本都是指向 /bin/systemctl 的符号链接。直接改这些文件权限无效，真正要授权的是：
-
/bin/systemctl poweroff（关机） -
/bin/systemctl reboot（重启） -
/sbin/shutdown -h now或/sbin/shutdown -r now（传统兼容写法）
推荐优先授权 systemctl 路径，语义清晰且与 systemd 行为一致。
按用户或组精细授权（推荐方式）
用 visudo 编辑 /etc/sudoers，或更安全地在 /etc/sudoers.d/ 下新建文件（如 /etc/sudoers.d/shutdown），内容示例：
- 允许单个用户免密执行关机和重启：
alice ALL=(root) NOPASSWD: /bin/systemctl poweroff, /bin/systemctl reboot - 允许整个
admin组执行关机类命令：%admin ALL=(root) NOPASSWD: /bin/systemctl poweroff, /bin/systemctl reboot, /sbin/shutdown -h *, /sbin/shutdown -r * - 限制更严格：只允许重启，且仅限特定服务相关操作（如运维场景）：
deploy ALL=(root) NOPASSWD: /bin/systemctl reboot
保存后，用户需重新登录或运行 sudo -l -U username 验证权限是否生效。
桌面环境下的图形化关机支持
GNOME、KDE、Xfce 等桌面环境通常调用 D-Bus 或 PolicyKit 接口关机，不直接执行命令行。若点击“关机”按钮无响应，常见原因有：
- 未安装或启用
polkit（原 PolicyKit）服务 - 缺少对应策略规则，例如在
/usr/share/polkit-1/actions/org.freedesktop.login1.policy中确认org.freedesktop.login1.power-off和org.freedesktop.login1.reboot的allow_any或allow_inactive是否设为yes - 某些桌面（如旧版 Xfce）依赖
xfsm-shutdown-helper，此时需额外授权：%users ALL=(root) NOPASSWD: /usr/lib/xfce4/xfsm-shutdown-helper
撤销权限与安全注意事项
禁用已有授权只需删除对应行或整个 /etc/sudoers.d/xxx 文件，然后运行 sudo visudo -c 检查语法。务必避免以下高危操作：
- 不要用
chmod +s /sbin/shutdown（setuid 方式），会绕过 sudo 审计且扩大攻击面 - 避免写
NOPASSWD: ALL，哪怕只针对一个用户——最小权限原则是底线 - 所有
sudo操作默认记录在/var/log/auth.log（Debian/Ubuntu）或/var/log/secure（RHEL/CentOS），定期检查可及时发现异常调用
授权完成后，用户只需输入 sudo systemctl reboot 或 sudo shutdown -r now 即可执行，无需密码（按配置）。整个过程不复杂但容易忽略细节。
