最安全、最推荐的方式是将用户加入系统预设的wheel（RHEL系）或sudo（Debian/Ubuntu系）组，而非手动编辑/etc/sudoers；执行sudo usermod -aG wheel username或sudo usermod -aG sudo username，再重新登录生效。

直接给普通用户加 sudo 权限，最安全、最推荐的方式是把用户加进系统预设的权限组，而不是手改 /etc/sudoers —— 一不小心语法错，sudo 就彻底失效，连 root 都救不回来。

用 usermod 加入 wheel 或 sudo 组（发行版决定用哪个）

RedHat 系列（CentOS/RHEL/Rocky/AlmaLinux）默认认 wheel 组；Debian/Ubuntu 系列默认认 sudo 组。别混用，否则权限不生效。

• 查当前系统用哪个组：运行 grep -E '^(%wheel|%sudo)' /etc/sudoers，看哪一行没被注释（即前面没 #）
• 加用户进对应组：sudo usermod -aG wheel username（RHEL系）或 sudo usermod -aG sudo username（Debian系）
• -aG 是关键：-a 表示“追加”，不覆盖已有附属组；-G 指定组名。漏掉 -a 会清空用户所有附属组，可能丢 SSH 登录权限
• 改完必须重新登录（或新开 shell），组变更才生效

用 visudo 手动授权（需要精细控制时才用）

只在以下情况才考虑手动编辑：usermod 不够用，比如要限制只能重启某个服务、或免密执行某条命令。否则没必要碰 visudo。

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• 永远用 sudo visudo 打开，不是 vim /etc/sudoers —— visudo 保存前会校验语法，错一次就锁死 sudo
• 加规则示例：username ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx
• 注意字段顺序：用户 主机=(目标用户) 命令，中间空格不能少，NOPASSWD: 冒号后要空一格
• 避免写 ALL=(ALL) ALL 这种全开配置，除非测试环境；生产环境优先走最小权限原则

验证权限是否真生效

别信“加了组就一定行”，很多问题出在验证方式不对或缓存干扰。

• 先切到目标用户：su - username（注意 -，保证加载完整环境）
• 运行 sudo -l：显示 “(ALL) ALL” 表示有完整权限；显示 “User username is not allowed to run sudo” 说明组没生效或 /etc/sudoers 里没放行该组
• 如果 sudo -l 报错但 id 显示已进组，检查 /etc/sudoers 里对应组那行是否被注释，以及是否拼错组名（比如写成 %wheel 却漏了百分号）
• 别用 sudo whoami 测试——它成功只说明能跑通，不代表你有真正需要的权限（比如重启服务）

真正容易被忽略的是：组变更后必须全新登录，SSH 重连或 su - 都不算“新会话”；还有就是不同发行版对权限组的默认启用逻辑不一致，硬套 Ubuntu 教程到 CentOS 上大概率失败。