linux用户组无密码机制，临时授权需用newgrp、sg或acl：newgrp切换当前会话主组（仅对已有成员），sg以指定组身份执行命令（推荐外部人员），acl直接授予权限（无需加组）。
Linux 的用户组本身不支持“组密码”机制，标准 POSIX 权限模型中，组（group）没有密码字段，也不提供通过密码加入组的功能。/etc/group 文件中第二字段为 x（表示密码存于 /etc/gshadow），但即使存在 gpasswd 设置的组密码，普通用户也无法凭此“临时加入”一个组——加入组是管理员行为，必须由 root 或具备相应权限者执行。
不过，你的需求本质是：
让外部人员在无 root 权限前提下，临时获得某组的权限（比如访问共享目录、运行特定程序）
这可以通过以下安全、可行、无需 root 介入的替代方案实现：
✅ 方案一：使用 newgrp 命令（需组已设密码且用户已在 /etc/group 中）
- 前提：
- 该组已被 root 设置了组密码（
sudo gpasswd groupname） - 你已是该组的成员（
groups命令可见），只是当前 shell 会话未激活该组
- 该组已被 root 设置了组密码（
- 操作：
newgrp groupname
输入组密码后，当前 shell 会话的有效主组（effective group ID）切换为该组，新建文件自动归属该组，也能访问
g+rwx的组级资源。 - 注意：仅对当前终端会话生效；退出后恢复原组；不能把非成员用户“加进组”，只对已有成员生效。
✅ 方案二：用 sg 命令以指定组身份执行命令（推荐给外部人员）
- 外部人员无需被加进组，只需知道组名和组密码（由管理员提前设置）：
sg groupname -c "your-command-here"
- 示例（访问一个组可写的共享目录）：
sg projectteam -c "ls -l /shared/project"
- 优点：一次一用、不改变用户长期身份、不需修改
/etc/group，适合临时协作。
✅ 方案三：基于文件系统 ACL（Access Control List）授权
- 管理员可为目录或文件单独授予某用户组外的特定用户权限，无需将其加入系统组：
# root 执行（一次配置，长期有效） setfacl -m u:externaluser:rwx /shared/project setfacl -d -m u:externaluser:rwx /shared/project # 默认 ACL，对新建文件也生效
- 外部用户登录后即可直接访问，完全绕过组管理，且权限精细可控（读/写/执行可分设）。
⚠️ 不可行的做法（常见误解）
- ❌
usermod -aG groupname username：必须 root 执行，普通用户无法调用； - ❌ 编辑
/etc/group：普通用户无写权限，且修改后需重新登录才可能生效； - ❌ “让外部人输组密码就自动加入”：Linux 内核和 PAM 不支持该流程，不存在此类机制。
真正能落地的“临时授权”，核心逻辑是：
不改身份，只借权限 —— 用 sg 执行、用 newgrp 切换、用 setfacl 直授，三者都规避了对用户账户本身的修改，也无需 root 实时参与每次授权。
不复杂但容易忽略。
