linux运维中限制sudo环境变量传递的核心是在启用env_reset前提下用env_keep白名单精准保留必要变量，如lang、display等，避免path、home等高风险变量，并支持用户/命令级细粒度控制。

Linux 运维中限制 sudo 命令的环境变量传递，核心不是“关掉 env_reset”，而是**在启用 env_reset 的前提下，精准控制哪些变量能保留**。这是兼顾安全与可用性的标准做法。

默认行为与安全逻辑

sudo 默认开启 Defaults env_reset，执行时会清空绝大多数用户环境变量，只留下极少数系统级安全变量（如 SUDO_COMMAND、SUDO_USER）。这不是缺陷，而是设计——防止 PATH 劫持、LD_PRELOAD 注入、HOME 误导等提权路径。

直接注释或禁用 env_reset（如写 Defaults !env_reset）会大幅降低安全性，不推荐用于生产环境。

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

用 env_keep 白名单保留必要变量

应在 /etc/sudoers 中通过 env_keep += "VAR1 VAR2" 显式追加信任变量，语法必须准确：

• 使用 += 追加，而非 = 赋值，避免覆盖 sudo 内置默认保留项（如 SUDO_COMMAND）
• 变量名之间用空格分隔，不加引号包裹单个变量，整行可加双引号（如 env_keep += "LANG DISPLAY http_proxy"）
• 推荐保留的安全变量包括：LANG、LC_CTYPE、LC_MESSAGES、DISPLAY、TERM、https_proxy、no_proxy
• 避免保留 PATH、HOME、LD_LIBRARY_PATH、LD_PRELOAD、PYTHONPATH 等高风险变量；如确需 PATH，应配合 secure_path 使用

按用户或命令粒度精细化控制

env_keep 支持作用域限定，提升策略灵活性：

• 针对特定用户：Defaults:alice env_keep += "MYAPP_ENV CONFIG_DIR"
• 针对某类命令别名：Defaults!/usr/bin/systemctl env_keep += "SYSTEMD_EDITOR"
• 若同时配置了 env_delete += "LD_*"，它会优先于 env_keep 生效，需检查是否存在冲突规则

验证与排障要点

配置后务必验证是否真正生效：

• 用目标用户执行：sudo env | grep -E '^(LANG|DISPLAY|http_proxy)='
• 确认变量在当前 shell 已定义：echo $DISPLAY（env_keep 不会“创建”变量，只保留已存在者）
• 避免误用 sudo -i 或 sudo su：它们启动全新 root shell，完全绕过 env_keep，应改用 sudo -s 或直接 sudo command
• 某些服务（如 systemd 单元、容器）自身重置环境，env_keep 对其无效，需在对应配置中单独设置