要让普通用户执行sudo命令时特定环境变量“跟着过去”，关键是通过env_keep有选择地放行安全变量（如lang、display、http_proxy等），而非全盘保留；需用defaults env_keep += "var1 var2"语法追加配置，避开ld_*被env_delete清除、sudo -i覆盖等陷阱，并用sudo env | grep验证生效。

要让普通用户执行sudo命令时，特定环境变量能“跟着过去”，关键不是全盘保留，而是有选择地放行。env_keep就是干这个的——它配合默认启用的env_reset机制，在清空大部分环境后，只留下你明确信任的那几个变量。

明确哪些变量值得保留

不是所有变量都适合传递。像PATH、HOME、LD_PRELOAD这类变量一旦透传，极易被用于提权或命令劫持。真正安全可留的，通常是影响显示、区域、语言等行为的只读变量：

• 语言与本地化类：LANG、LC_CTYPE、LC_MESSAGES、LC_ALL
• 终端与会话类：DISPLAY（图形程序需要）、TERM、COLORTERM
• 代理类（若内网合规）：http_proxy、https_proxy、no_proxy
• 自定义业务变量（需严格限定）：如MYAPP_ENV、CONFIG_DIR，但必须确保其值不包含路径或可执行逻辑

在sudoers中正确配置env_keep

用sudo visudo打开配置文件，添加或修改Defaults行。注意语法细节：

• 用+=追加，避免覆盖系统默认保留项（如SUDO_COMMAND）
• 变量名之间用空格分隔，长行可用反斜杠续行
• 不要写成env_keep = "VAR1 VAR2"（等号赋值会覆盖默认白名单）

推荐写法示例：

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

Defaults env_keep += "LANG LC_CTYPE LC_MESSAGES DISPLAY http_proxy https_proxy no_proxy"

如果已有env_keep行，直接在其后追加即可，visudo会自动合并处理。

避开常见陷阱

光加env_keep还不够，以下情况会导致变量“看似设置了却没生效”：

• 用户shell未加载对应变量：env_keep只保留已存在的变量。检查echo $HTTP_PROXY是否真有输出，而不是仅在.bashrc里export了但当前会话没重载
• sudo -i 或 sudo su 覆盖了环境：这两个命令会启动新的root shell并读取/root/.bashrc，完全绕过env_keep。应改用sudo -s或直接sudo command
• 某些程序主动清理环境：比如systemd服务、容器运行时可能重置环境。env_keep对它们无效，需在服务单元文件或容器启动参数中单独配置
• LD_*系列变量被env_delete强制清除：即使写了env_keep，若同时存在Defaults env_delete += "LD_PRELOAD"，后者优先级更高。确认没有冲突规则

验证变量是否真正传递成功

改完配置别急着用，立即验证：

• 运行sudo env | grep -E "(LANG|http_proxy|DISPLAY)"，看输出是否匹配你当前用户的值
• 测试实际效果：sudo curl -I https://example.com（验证代理是否生效）或sudo locale（验证语言设置）
• 特别注意PATH：env_keep里的PATH不会自动生效，因为secure_path会强制覆盖。如确需自定义PATH，应显式用sudo env "PATH=/my/bin:$PATH" command