usermod -ag 是唯一安全的追加方式，直接用 usermod -g 会清空用户所有现有附加组；添加前须确认组和用户存在，权限需重新登录或 newgrp 生效，创建用户时可用 useradd -g/-g 一步指定组。
usermod -aG 是唯一安全的追加方式
直接用 usermod -G 会清空用户所有现有附加组，只保留你这次指定的那一个——这是线上事故高发点。必须带 -a（append）参数，才能真正“添加”，而不是“替换”。
-
sudo usermod -aG docker alice：把 alice 加入docker组，不碰她原来在的www-data、sudo等组 -
sudo usermod -aG docker,sudo,libvirt alice：一次加多个，逗号分隔，中间不能有空格 - 漏掉
-a（比如写成usermod -G docker alice）：alice 将立刻失去所有其他附加组权限，包括可能正在使用的sudo权限
添加前必须确认组和用户都存在
命令不会自动创建缺失的组或用户，报错就停，不提示补救路径。先查再动，避免白忙活。
- 查组是否存在：
getent group docker或grep '^docker:' /etc/group，有输出说明组已建好 - 查用户是否存在：
id alice，返回no such user就得先useradd alice - 组不存在时，用
sudo groupadd docker创建，别跳过这步
权限不会立即生效，必须重新登录或 newgrp
Linux 的组成员关系是在用户登录时由 PAM 加载进 session 的，改完 /etc/group 不等于当前 shell 就能用新组权限。
- 最彻底的办法：退出终端，重新 SSH 登录或图形界面重登
- 临时测试可用：
newgrp docker，它会 fork 一个新 shell，该 shell 中groups输出能看到新组 - 注意：
newgrp会切换主组（primary group），如果只是要读写某个目录，通常不需要；若只想临时获得附加组能力，sg docker -c 'ls /var/run/docker.sock'更精准
创建新用户时就指定组，用 useradd -G 或 -g
如果用户还没建，直接一步到位比建完再改更干净。区别在于：-g 设主组（每个用户只能有一个），-G 设附加组（可多个）。
- 设主组（推荐用于服务账户）：
sudo useradd -m -s /bin/bash -g developers bob - 设附加组（日常开发账户常用）：
sudo useradd -m -G sudo,docker,www-data charlie - 两者可共存：
sudo useradd -m -g staff -G sudo,git charlie，此时charlie主组是staff，附加组是sudo和git
id 用户名 输出里真出现了目标组名，以及新 shell 下能否真正访问对应资源——比如 docker ps 成功，或 ls -l /var/www 显示有读写权限。别信“执行没报错”就等于搞定。
