答案是通过sudoers.d配置精确路径的nopasswd授权：1. 创建/etc/sudoers.d/90-reboot-nopasswd文件，写入“alice all=(all) nopasswd: /sbin/reboot”；2. 设置权限chmod 0440；3. 推荐用rebooters组统一管理；4. 必须验证sudo -l与路径准确性，禁用模糊规则。
让普通用户免密执行 reboot 这类高危命令，核心是**精确授权、路径锁定、最小权限**——不能开后门，也不能留漏洞。
只允许 reboot 命令免密（绝对路径+无交互）
reboot 实际调用的是 /sbin/reboot（不是 reboot 命令名本身），必须写完整路径。其他类似命令如 shutdown -r now 或 systemctl reboot 是不同二进制或需参数解析，不能混用。
- 用
which reboot或type -p reboot确认真实路径（常见为/sbin/reboot或/usr/sbin/reboot） - 编辑配置：
sudo visudo -f /etc/sudoers.d/90-reboot-nopasswd - 写入单行规则（以用户
alice为例）：alice ALL=(ALL) NOPASSWD: /sbin/reboot - 立即设权限：
sudo chmod 0440 /etc/sudoers.d/90-reboot-nopasswd
按组统一管理重启权限（推荐多人场景）
比逐个用户配置更易维护，也方便后续回收权限。
- 创建专用组：
sudo groupadd rebooters - 加用户：
sudo usermod -aG rebooters alice - 新建配置文件：
sudo visudo -f /etc/sudoers.d/90-rebooters-group - 写入：
%rebooters ALL=(ALL) NOPASSWD: /sbin/reboot - 同样执行
sudo chmod 0440设置权限
验证与安全边界必须做
配置完不测试 = 没配；不设边界 = 开了 root 后门。
- 切换到目标用户：
su - alice，再运行sudo -l -U alice，确认只列出/sbin/reboot，无其他命令 - 测试执行：
sudo reboot—— 应直接触发重启流程（可改用sudo /sbin/reboot --dry-run测试，部分系统支持） - 禁止写成：
NOPASSWD: /sbin/shutdown或NOPASSWD: /bin/bash，前者参数可控性高，后者直接提权 - 不要用
ALL、sudo reboot这种模糊写法，路径错一个字符或符号就失效
为什么不用主 sudoers 文件？
直接改 /etc/sudoers 风险太高：一个空格、一个注释符号错误，sudo 就瘫痪，连 root 都救不了。官方明确建议走 /etc/sudoers.d/ 目录，每个功能独立文件，出问题删掉即可回滚，不影响全局。
