id -u 输出当前进程的有效用户id（euid），反映运行时真实权限主体，适用于sudo、su、suid等场景的自动化权限审计。
直接运行 id -u 即可输出当前执行者的数字 UID，这是自动化权限审计中最常用、最可靠的身份识别方式。它不依赖用户名解析，返回纯数字，适合脚本判断和条件分支。
为什么用 id -u 而不是其他命令
id -u 输出的是有效用户 ID（EUID），即进程当前实际用于权限检查的 UID。这与 whoami（只返回用户名）、ls -n（显示文件属主数字 ID）或 getent passwd $USER | cut -d: -f3（查 /etc/passwd 静态配置）有本质区别——它反映的是运行时真实身份，包括 sudo 切换、su 提权、setuid 程序降权等场景下的最终权限主体。
- 普通用户执行：
id -u返回其 UID（如 1001） - 执行
sudo bash后：id -u返回 0（root） - 运行带 SUID 的程序时：
id -u返回文件所有者 UID，而非启动者 UID
在审计脚本中安全验证权限等级
自动化审计常需区分 root 与非 root 执行环境，避免误操作或权限不足失败。推荐用数值比较而非字符串匹配：
[ $(id -u) -eq 0 ] && echo "以 root 运行"if [ "$(id -u)" != "0" ]; then echo "需提权"; exit 1; fi- 配合组权限检查：
id -G | grep -qw '27' && echo "属于 sudo 组"（27 是常见 sudo 组 GID）
结合 -g 和 -G 实现细粒度权限上下文判断
单看 UID 不足以覆盖权限审计全部需求。主组 GID（id -g）影响新建文件默认属组；所有附属组 GID（id -G）决定能否访问 group-writable 目录或执行带 SGID 的程序。
- 检查是否具备备份组权限：
id -G | grep -qw '105' || { echo "缺少 backup 组权限"; exit 1; } - 确认服务账户未意外获得敏感组：
id -G | grep -qE '\b(0|10|1002)\b' && echo "警告：含高危组" - 对比真实身份与预期：
expected_gid=1001; [ "$(id -g)" = "$expected_gid" ] || echo "主组不符"
规避常见陷阱与增强健壮性
在生产级审计脚本中，需处理边界情况：
- 避免命令替换空值：
uid=$(id -u 2>/dev/null)并检查[ -z "$uid" ] - 不用
id -r -u（真实 UID）替代id -u（有效 UID），因审计关注的是“此刻能做什么”，而非“最初是谁登录” - 容器环境可能使用非标准 UID（如 65534），应允许配置白名单范围，而非硬写
-eq 0判断 - SELinux 受限环境可追加
id -Z 2>/dev/null | grep -q 'unconfined_u' || echo "受限上下文"
