精准放行root命令需三重防护：一是在/etc/sudoers中用visudo配置绝对路径白名单，NOPASSWD紧贴命令；二是禁用交互式shell（usermod -s /sbin/nologin）；三是叠加权限限制与审计。
限制用户只能运行特定的 root 命令，核心不是“封禁”，而是“精准放行”——只允许明确列出的、带绝对路径的命令，其余一律拒绝。关键靠 /etc/sudoers 白名单配置，配合 shell 限制和权限校验，三者协同才真正可靠。
用 visudo 配置精确的 sudo 白名单
这是最常用也最可控的方式。必须用 visudo 编辑，避免语法错误导致 sudo 失效。
- 写死绝对路径：比如允许重启 nginx，必须写成 devuser ALL=(root) /usr/bin/systemctl restart nginx，不能简写为
systemctl或漏掉/usr/bin/ - 多条命令用逗号分隔，禁止某条加
!前缀：例如 /usr/bin/systemctl, !/bin/rm, !/usr/bin/sh -
NOPASSWD:必须紧贴命令前，格式是 devuser ALL=(root) NOPASSWD: /usr/bin/systemctl restart nginx；写成NOPASSWD: ALL是无效的 - 规则顺序重要：sudoers 自上而下匹配，第一条命中即停止。确保你的限制规则在通用规则（如
%sudo ALL=(ALL:ALL) ALL）之前
剥夺交互式登录能力，防绕过
即使配了 sudo，用户仍可能通过 SSH 登录后调用 shell、写脚本、或用 env PATH=... 绕过限制。最干净的做法是关闭其交互入口：
- 执行 sudo usermod -s /sbin/nologin username，用户 SSH 登录会立即退出，提示 “This account is currently not available.”
- 该操作不影响 cron、systemd --user 或 rsync 等非交互任务（如需保留 rsync，可用
/bin/false替代） - 恢复登录只需 sudo usermod -s /bin/bash username，无需重设密码
验证与排错：为什么加了 NOPASSWD 还要输密码？
不是配置没生效，大概率是规则未命中或被覆盖：
- 先运行 sudo -l -U username，它会明确告诉你哪些规则实际生效、来自哪个文件、是否匹配成功
- 检查用户是否真属于目标组：groups username；改完组别需重新登录才生效
- 确认
/etc/sudoers.d/下的配置文件名不含.或~（如web.conf会被忽略），且权限为0440：sudo chmod 0440 /etc/sudoers.d/web-admin
补充防护：防间接执行和环境变量绕过
仅靠 sudo 白名单还不够，攻击者可能用 sh -c "rm -rf /" 或修改 PATH 调用其他解释器。可叠加以下措施：
- 对敏感命令设置
setfacl -m u:username:--- /bin/rm，直接移除执行权限（注意别锁死自己） - 若需更严格隔离，可创建受限 shell 用户：用
ln -sf /bin/bash /bin/rbash，再设usermod -s rbash username，并限制其PATH只指向~/bin，再在该目录下仅软链允许的命令（如ln -sf /usr/bin/ls ~/bin/ls） - 审计关键行为：启用
auditd监控execve系统调用，或定期检查/var/log/auth.log中的 sudo 日志
