精准授权不是“加sudo权限”，而是通过/etc/sudoers.d/下独立文件，用visudo编辑，严格限定绝对路径、固定参数、明确执行身份，禁用主文件直接修改，启用全链路审计。
直接给结论：不是“加 sudo 权限”，而是用 /etc/sudoers.d/ 下的独立文件，写死绝对路径 + 固定参数 + 明确执行身份，其他一概不认。
必须走 visudo 编辑，别碰主文件
绝对不要用 vim /etc/sudoers 直接改主配置。一个空格、少个括号，sudo 就会瘫痪，连 root 都救不回来。正确做法是：
- 用
sudo visudo -f /etc/sudoers.d/nginx-restart新建规则文件（文件名不能带点或波浪号，如nginx-restart✅，nginx.conf~❌） - 主文件
/etc/sudoers只保留include /etc/sudoers.d/行，其余授权全放子文件里 -
visudo会自动检查语法、设权限为 440、拦截相对路径和空格错误
命令必须写全路径 + 固定参数
允许重启 Nginx 的正确写法是：
%ops ALL=(root) NOPASSWD: /usr/bin/systemctl restart nginx
注意这几点：
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
-
/usr/bin/systemctl是完整路径，systemctl或bin/systemctl都无效 -
restart nginx是显式参数，restart *、restart（无参数）或status nginx都不匹配 - 如果用户执行
sudo systemctl restart redis，会被拒绝 - 多个命令用逗号分隔：
/usr/bin/systemctl restart nginx, /usr/bin/systemctl reload nginx
用 Cmnd_Alias 统一管理，方便扩展
当要授权不止一个服务时，定义别名更清晰、易维护：
Cmnd_Alias NGINX_CMDS = /usr/bin/systemctl restart nginx, /usr/bin/systemctl reload nginx, /usr/bin/systemctl status nginx
%ops ALL=(root) NOPASSWD: NGINX_CMDS
这样后续新增命令，只改别名定义即可，不用动授权行；加新成员，也只需把人加进 ops 组。
验证与审计不能省
配完不是结束，必须立刻验证：
- 用目标用户执行
sudo -l，确认只列出你写的那几条命令 - 手动试运行允许的命令（如
sudo systemctl restart nginx）和禁止的命令（如sudo systemctl reboot），看是否按预期放行或拒绝 - 建议在
/etc/sudoers.d/nginx-restart开头加上审计配置：Defaults logfile="/var/log/sudo.log", log_input, log_output, requiretty
确保每次操作都留痕、可追溯
