linux中sudo无自动锁定功能，仅有密码缓存有效期（默认15分钟），即成功认证后该时段内免密执行sudo命令；所谓“运行超时自动锁定”属误解，实际需通过调整timestamp_timeout、shell会话超时（tmout）或pam强制重认证等组合策略实现近似安全控制。

Linux 中 sudo 本身不提供“运行超时自动锁定”功能，它只有密码缓存有效期（默认 15 分钟），即用户成功输入一次密码后，在该时间内重复执行 sudo 命令无需再输密码。这不是“锁定”，而是会话授权的临时豁免。所谓“sudo 运行超时自动锁定”实际是常见误解——系统不会因 sudo 命令长时间运行而主动中断或加锁。但你可以通过组合策略，实现限制 sudo 权限持续时间、强制重新认证、或终止关联会话，达到近似安全效果。

一、调整 sudo 密码缓存时间（最直接有效）

这是控制 sudo “免密窗口期”的标准方式，修改后所有新 sudo 会话立即生效：

• 用 visudo 安全编辑配置：sudo visudo
• 在文件末尾添加一行：Defaults timestamp_timeout=5（单位：分钟；设为 0 表示每次都要输密码；-1 表示永不过期，不推荐）
• 保存退出，无需重启服务。下次 sudo 操作将在 5 分钟无活动后自动失效

二、配合 Shell 会话超时（阻断底层会话）

即使 sudo 缓存未过期，若整个终端会话已退出，sudo 自然无法继续使用。因此可同步设置 Shell 空闲超时：

Linux installer

先解析安全源，运行本地CLI安装、启动、卸载Linux桌面应用。用户请求时使用。

下载

• 全局生效（所有 Bash 用户）：编辑 /etc/profile，追加
  TMOUT=300
export TMOUT
• 或更稳妥地放入只读脚本：/etc/profile.d/autologout.sh，内容为：
  TMOUT=300
readonly TMOUT
export TMOUT
• 效果：终端连续 5 分钟无输入，自动登出，sudo 权限随之清空

三、用 PAM 强制 sudo 重认证（高安全场景）

适用于需每次 sudo 都验密的合规要求（如等保）。需启用 pam_faillock 或类似模块：

• 编辑 /etc/pam.d/sudo（若不存在，可复制 /etc/pam.d/su 并调整）
• 在文件顶部插入（顺序关键）：
  auth [default=ignore] pam_faillock.so preauth
auth [default=die] pam_faillock.so authfail
• 确保 /etc/security/faillock.conf 中未禁用该策略，且无 pam_permit.so 等绕过规则
• 此后每次执行 sudo，无论缓存是否有效，都必须重新输入用户密码

四、补充：防止 sudo 长时命令被滥用

对正在运行的 sudo 命令本身无法“中途锁定”，但可从环境层面降低风险：

• 避免用 sudo -i 或 sudo su - 启动长期 root shell；改用 sudo 命令 按需提权
• 用 sudo -l 定期检查当前用户被授予的权限范围，及时清理宽泛授权（如 NOPASSWD: ALL）
• 结合 auditd 或 sudoers 的 log_output 选项记录高危命令执行过程，便于事后审计