普通用户不能直接读取系统日志，但可通过sudo授权安全使用less、tail、journalctl等命令；推荐配置/etc/sudoers白名单规则或封装viewlog脚本，结合systemd-journal组实现最小权限访问。

普通用户不能直接读取系统日志（如 /var/log/syslog、/var/log/auth.log），但可通过 sudo 授权其安全、有限地使用日志查看命令（如 less、tail、journalctl），无需开放整个日志文件的读权限，也不需给用户 sudo 全权限。

配置专用日志查看命令别名（推荐）

在 /etc/sudoers 中为用户或组添加只允许运行特定日志查看命令的规则，避免暴露 shell 或任意命令执行风险。

• 用 sudo visudo 编辑配置，添加类似行（以用户 devuser 为例）：

devuser ALL=(root) NOPASSWD: /usr/bin/journalctl -u nginx*, /usr/bin/journalctl -u ssh*, /usr/bin/tail -n 100 /var/log/syslog, /usr/bin/less /var/log/auth.log

• 支持通配符（如 nginx*）和固定参数，防止参数注入；禁止带 -o、--all 等敏感选项；
• 用户执行时需显式加 sudo，例如：sudo journalctl -u nginx.service；
• 若想免密，保留 NOPASSWD:；如需密码，去掉该字段即可。

封装成自定义脚本并授权（更安全可控）

把常用日志操作封装为受限脚本，再通过 sudo 授权调用，便于统一管理与审计。

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• 新建脚本 /usr/local/bin/viewlog：

#!/bin/bash
case "$1" in
  nginx)   exec /usr/bin/journalctl -u nginx --no-pager -n 50 ;;
  ssh)     exec /usr/bin/journalctl -u ssh --no-pager -n 50 ;;
  auth)    exec /usr/bin/less /var/log/auth.log ;;
  syslog)  exec /usr/bin/tail -n 100 /var/log/syslog ;;
  *)       echo "Usage: $0 {nginx|ssh|auth|syslog}" >&2; exit 1 ;;
esac

• 设置权限：sudo chmod 755 /usr/local/bin/viewlog；
• 在 /etc/sudoers 中授权：devuser ALL=(root) NOPASSWD: /usr/local/bin/viewlog *；
• 用户只需运行 sudo viewlog nginx，既简洁又杜绝越权可能。

配合 systemd-journald 的细粒度访问控制（仅限 journal 日志）

若主要查看 journalctl 日志，可启用 RestrictAddressFamilies 和 StandardOutput=journal 等服务级控制，并利用 systemd-journal 用户组实现轻量级共享。

• 将用户加入 systemd-journal 组：sudo usermod -aG systemd-journal devuser；
• 该组默认可读本机 journal（非全部，受 ~/.local/share/journal 和 /run/log/journal 权限限制）；
• 如需跨用户或持久化日志，还需确保 /var/log/journal 存在且组可读（sudo mkdir -p /var/log/journal; sudo systemd-tmpfiles --create --prefix /var/log/journal）；
• 此时用户可直接运行 journalctl --user-unit=xxx 或 journalctl -u nginx（无需 sudo），但仅限本机已启用 persistent logging 的场景。

验证与最小权限原则提醒

每次配置后务必验证效果，并坚持最小授权原则。

• 测试命令是否按预期运行：sudo -l -U devuser 查看该用户被允许的 sudo 命令；
• 尝试非法参数（如 sudo journalctl -o json）应被拒绝；
• 避免写入类操作（如 sudo cat /var/log/auth.log > /tmp/x）——这会绕过白名单，应禁用 shell 通配与重定向，方法是在 sudoers 中启用 env_reset 并禁用 setenv；
• 生产环境建议搭配 auditd 或 sudo 日志（/var/log/auth.log 或 /var/log/sudo.log）做行为审计。