sudo时间窗口由/etc/sudoers中timestamp_timeout控制，默认15分钟；设为0最安全，支持按用户、组精细化配置；可用sudo -k或sudo -k手动清除时间戳。
服务器上 sudo 的时间窗口控制，核心是管理密码验证后的时间戳（timestamp）有效期。默认通常为15分钟，期间重复执行 sudo 不再要求输密——便利性背后存在安全风险：若终端被临时接管，攻击者可直接提权执行危险操作。关键不是“关不关”，而是“设多长”和“谁适用”。
查看当前时间戳策略
运行以下命令即可确认系统当前设定：
sudo -V | grep "timestamp timeout"
输出如 timestamp timeout = 15 minutes，说明沿用发行版默认值。该值由 /etc/sudoers 中的 timestamp_timeout 参数决定，而非硬编码在二进制中。
修改全局有效期（推荐设为 0 或小数值）
使用 visudo 安全编辑配置文件，避免语法错误锁死提权能力：
- Defaults timestamp_timeout=0：每次 sudo 都需重新输入密码，最安全，适合高敏环境
- Defaults timestamp_timeout=3：设为3分钟，平衡安全与日常效率
- 避免使用 timestamp_timeout=-1（永不过期），该设置等于放弃时间防护机制
保存后立即生效，无需重启任何服务或重登会话。
按用户或组精细化设置
sudoers 支持优先级匹配，靠后规则覆盖靠前规则。可在同一文件中添加针对性配置：
- Defaults:deploy timestamp_timeout=1：仅部署用户 deploy 有效1分钟
- Defaults:%ops timestamp_timeout=2：运维组所有成员统一为2分钟
- Defaults:!root timestamp_timeout=0：除 root 外所有人每次均需验证
这种分层控制比“一刀切”更贴合实际权限分工，例如 CI/CD 机器上的部署账户可设极短窗口，而值班工程师可略宽松。
手动清除时间戳的习惯与技巧
即使设了较短有效期，主动清理仍是良好实践：
- sudo -k：仅使当前终端的当前用户时间戳失效，下次 sudo 必须输密
- sudo -K：彻底删除所有时间戳文件（含其他 TTY 或 SSH 会话中的），适合交接或离开工位前
- 可将 alias sudoclean='sudo -k' 加入 ~/.bashrc，简化操作
建议在执行敏感命令（如修改防火墙、重启关键服务）后，或共享终端环境中养成运行 sudo -k 的习惯。
