最稳妥方式是用 usermod -ag 命令追加用户到附加组，不覆盖原有组；需重新登录或执行 newgrp 激活权限；操作前应验证组和用户存在，避免误删附加组。
最稳妥、最常用的方式是用 usermod -aG 命令，它能安全地把用户追加进目标组，不会影响用户原本所属的其他组。操作后需重新登录或执行 newgrp 才能生效权限。
确认目标组和用户是否存在
添加前先验证基础信息，避免命令报错：
- 查组是否存在：
getent group docker或grep '^docker:' /etc/group - 查用户是否存在：
id alice - 若组不存在，先创建：
sudo groupadd docker
用 usermod -aG 添加用户到附加组
这是生产环境推荐做法，“-a”确保只追加不覆盖，“-G”指定附加组（secondary group）：
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
- 加一个组：
sudo usermod -aG www-data alice - 加多个组：
sudo usermod -aG docker,sudo,libvirt alice - 批量添加（配合 for 循环）：
for u in dev1 dev2 dev3; do sudo usermod -aG project "$u"; done
usermod -G）会清空用户所有现有附加组，仅保留你这次指定的那一个——这是高频误操作。
区分主组与附加组的操作
每个用户有且只有一个主组（primary group），由 /etc/passwd 中的 gid 字段决定；附加组可有多个，用于灵活赋权：
- 改主组（慎用）：
sudo usermod -g developers alice（小写 -g） - 加附加组（常用）：
sudo usermod -aG developers alice（大写 -G + -a） - 新建用户时直接指定主组：
sudo useradd -g developers alice - 新建用户时指定附加组：
sudo useradd -G docker,www-data alice
验证与激活权限
添加完成后需确认并激活，否则权限不生效：
- 查看用户所属组：
id alice或groups alice - 立即激活新组权限（无需登出）：
newgrp docker（仅对当前 shell 有效） - 彻底生效方式：完全退出当前会话，重新登录
