sudo本身不原生限制tty，但可通过pam标记可信tty、sudoers保留并校验$tty变量，或结合systemd-logind会话控制，实现“仅允许指定tty发起的sudo操作”。
sudo 本身不直接限制用户只能在特定 TTY 上执行提权操作。它的权限校验发生在命令执行阶段，与当前登录终端类型（如 tty1、pts/0）无原生绑定关系。但你可以通过组合 PAM 模块和 sudoers 策略，实现“仅当用户从指定 TTY 登录后发起的 sudo 请求才被允许”的效果。
核心思路：用 pam_tty_acct.so 在 login 阶段标记可信 TTY
该模块不控制 sudo 行为本身，而是让系统在用户登录时记录其来源 TTY，并将该信息作为环境或会话属性供后续服务（包括 sudo）参考。实际中需配合 sudoers 中的 env_check 或自定义脚本判断。
- 编辑
/etc/pam.d/login，在开头添加一行：auth [success=ok default=bad] pam_tty_acct.so tty=tty2（将tty2替换为你允许的终端） - 这行规则表示：只有从
tty2登录的会话，认证才继续；其他 TTY 登录会被拒绝（即用户根本无法登录，自然无法运行 sudo） - 注意：此法限制的是“登录入口”，不是“sudo 执行入口”。若用户已通过 SSH（
pts/0）或图形界面（seat0）登录，该规则不生效
更实用的做法：在 sudoers 中检查 $TTY 变量
Linux 终端会把当前设备路径写入 $TTY 环境变量（如 /dev/tty2）。你可以在 sudoers 中启用环境检查并做条件判断，但需注意：sudo 默认重置环境，必须显式保留。
- 先确保 sudo 继承
TTY：Defaults env_keep += "TTY"（加到/etc/sudoers开头） - 再添加一条基于 TTY 的命令限制（以只允许
tty2上执行systemctl为例）：%ops ALL=(root) (ALL) /usr/bin/systemctl, !/usr/bin/systemctl *; Defaults:%ops env_check += "TTY"; Cmnd_Alias TTY2_CMD = /usr/bin/systemctl restart nginx; %ops tty2=(root) NOPASSWD: TTY2_CMD - 更可靠的方式是用 wrapper 脚本封装命令，脚本开头检查
[[ $(tty) == "/dev/tty2" ]]，不满足则退出
替代方案：用 systemd-logind 控制会话粒度
现代 Linux（如 UOS、RHEL 8+/Debian 11+）使用 systemd-logind 管理会话。你可以通过 logind.conf 限制某用户仅能启动本地 TTY 会话，间接控制其 sudo 场景。
- 编辑
/etc/systemd/logind.conf，取消注释并修改：NAutoVTs=2（只开 tty1 和 tty2）ReserveVT=2（预留 tty2） - 对目标用户设置：
sudo usermod -s /usr/sbin/nologin username（禁图形）sudo systemctl disable gdm3（停图形管理器） - 这样用户只能通过 Ctrl+Alt+F2 进入 tty2，所有后续 sudo 操作都源自该可信上下文
重要提醒
不要依赖 who 或 loginctl 输出来判断 TTY——它们可能被伪造或反映的是父会话。真实可靠的判断方式只有：
• 运行 tty 命令（输出 /dev/tty2 才是真 TTY）
• 查看 /proc/self/stat 中的第7字段（tty_nr）
• 在 login PAM 链中用 pam_tty_acct.so 做第一道门禁
