必须使用 visudo 修改 sudo 授权：它不直接编辑、强制语法校验、保存前拦截错误；推荐用 /etc/sudoers.d/ 下独立文件管理，权限设为 0440，改后需重新登录、sudo -l 验证、手动测试命令。
用 visudo 修改授权文件，核心就三点：不直接编辑、靠它校验语法、改完要验证。它不是普通编辑器，而是专为 /etc/sudoers 设计的安全入口。
为什么必须用 visudo，不能用 vim/nano 直接改
/etc/sudoers 文件语法极其严格——多一个空格、少一个括号、冒号位置错一位，都会导致解析失败。一旦保存非法内容，sudo 立即瘫痪，连 sudo visudo 都无法再运行（因为它本身依赖 sudo）。这不是报错，是系统级锁死。而 visudo 在你按保存键前，会自动执行语法检查；通不过，就拒绝写入，从根本上拦住错误。
标准操作流程（推荐顺序）
- 以已有 sudo 权限的用户登录，运行
sudo visudo - 编辑器打开后，找到
# User privilege specification区域，在其下方新增一行 - 按需写规则，例如：
— 给用户 alice 完全权限：alice ALL=(ALL:ALL) ALL
— 只允许重启 nginx：alice ALL=(root) /bin/systemctl restart nginx - 保存退出（nano 是
Ctrl+O → Enter → Ctrl+X；vim 是:wq） - visudo 会自动检查语法；若提示错误，返回修改，直到无报错才真正写入
更安全的替代方案：用 /etc/sudoers.d/ 管理
主流发行版（Ubuntu 22.04+、Debian 12、RHEL 9、Fedora 38+）默认启用该目录，它是比直接改主文件更现代、更稳妥的做法。
- 新建独立配置：运行
sudo visudo -f /etc/sudoers.d/50-myuser（文件名不含点、下划线或波浪号） - 在里面写规则，比如：
myuser ALL=(ALL) NOPASSWD: /usr/bin/apt update - 保存后立即设权限：
sudo chmod 0440 /etc/sudoers.d/50-myuser（权限不是 0440，sudo 会直接忽略该文件） - 单个文件出错不影响其他规则，也不会让整个 sudo 失效
改完必须做的三件事
- 重新登录或运行
newgrp sudo（如果加了 sudo 组），让组变更生效 - 用
sudo -l -U username查看该用户实际获得的权限列表 - 挑一条授权命令手动试一次，比如
sudo ls /root或sudo systemctl status ssh，确认真能执行
