最根本措施是确保用户不在admin组，系统将自动移出并使sudo立即失效；其次检查清理/etc/sudoers中针对该用户的显式授权；再禁用root账户并限制su切换；最后通过日志审计提升追溯能力。
防止 macOS 用户账户未授权执行 sudo，核心是**切断其获得管理员权限的路径**，而非单纯禁用命令本身。macOS 的 sudo 权限本质来源于用户是否属于 admin 组，以及 /etc/sudoers 中的具体策略。以下措施按优先级和实效性排列：
确认用户不在 admin 群组中
这是最根本、最有效的防护。macOS 默认仅将管理员账户加入 admin 组，而该组成员自动拥有 sudo 权限（由 %admin ALL=(ALL) ALL 规则控制）。
- 打开「系统设置」→「用户与群组」→ 点击左下锁图标解锁
- 选中目标用户 → 点击右下角「编辑」或「高级选项」
- 检查「允许用户管理这台 Mac」是否已取消勾选 —— 若勾选，该用户即属
admin组 - 取消勾选后，系统会自动将其移出
admin组，sudo将立即失效（无需重启）
检查并清理 /etc/sudoers 中的显式授权
即使不在 admin 组，用户仍可能被单独写入 sudoers 文件获得权限（例如 username ALL=(ALL) ALL 或 NOPASSWD 条目）。
- 在终端运行
sudo visudo（需当前有权限的管理员执行） - 逐行检查是否存在目标用户名或其所属组的授权规则
- 删除或注释掉所有针对该用户的非必要条目（如含
NOPASSWD的行风险极高） - 保存退出前务必确保语法正确，否则可能导致所有用户无法使用 sudo
禁用 root 账户并限制 su 切换
部分用户可能绕过 sudo，尝试用 su - 切换到 root。macOS 默认禁用 root，但若曾手动启用，需再次关闭。
- 终端执行：
sudo dsenableroot -d（若提示已禁用则跳过） - 验证：
dscl . -read /Users/root AuthenticationAuthority，返回错误即表示 root 已禁用 - 同时确认
/etc/shells中不包含非法 shell 路径，避免提权利用
审计登录与命令历史（辅助手段）
无法完全阻止，但可增加未授权行为的追溯成本。
- 定期检查
last和lastlog查看异常登录时间与来源 - 启用
sudo日志：确认/etc/sudoers中有Defaults logfile="/var/log/sudo.log" - 配合系统日志查看器（Console.app），筛选关键词
sudo或authorization
