su 和 sudo都用于执行需要更高权限（通常是 root 用户权限）的任务。
核心概念：
root 用户： Linux 系统中拥有最高权限的超级管理员账户。它可以执行任何操作，包括修改系统文件、安装软件、管理所有用户等。不当使用 root 权限非常危险。最小权限原则： 一个重要的安全准则，建议用户和程序只拥有完成其任务所必需的最小权限。这限制了潜在错误或恶意行为的影响范围。
1. su (Switch User / Substitute User)
作用： 用于切换当前登录用户的身份。最常用的场景是切换到 root 用户 (su - 或 su - root)，也可以切换到其他任何用户 (su - username)。工作方式：
执行 su 时（不带用户名），默认尝试切换到 root 用户。执行 su username 时，尝试切换到指定的 username。系统会提示你输入目标用户的密码。例如，切换到 root 需要输入 root 密码；切换到用户 bob 需要输入 bob 的密码。成功验证后，会创建一个新的 Shell 会话，这个会话拥有目标用户的权限和环境变量。要退出切换后的用户身份并返回到之前的用户，使用 exit 命令或按 Ctrl+D。
特点：
需要知道目标用户的密码。 特别是切换到 root 需要知道 root 密码（很多现代发行版默认禁用 root 密码，正是为了引导使用 sudo）。切换到目标用户的完整环境。 使用 su - 或 su - username（带连字符 -）会模拟一次完整的登录：加载目标用户的 Shell 配置文件（如 .bash_profile, .bashrc），并切换到目标用户的家目录。su username（不带 -）只切换用户身份，不改变环境变量和工作目录。权限“全有或全无”： 一旦切换成功，在新的 Shell 中执行的所有命令都以目标用户的权限运行，直到退出该 Shell。
主要风险： 在 root Shell 中操作非常危险，一个简单的命令错误（如 rm -rf / somepath 写错了路径）就可能导致灾难性后果。长期保持 root Shell 打开也增加了安全风险。
su 使用示例
切换到 root 用户 (并加载环境)：
user@server:~$ su -
Password: <输入 root 用户的密码>
root@server:~# whoami
root
root@server:~# exit
logout
user@server:~$
切换到 root 用户 (不加载环境，保持当前环境)：
user@server:~$ su
Password: <输入 root 用户的密码>
root@server:/home/user# whoami
root
root@server:/home/user# pwd
/home/user
root@server:/home/user# exit
exit
user@server:~$
切换到其他用户 (例如 bob，并加载环境)：
user@server:~$ su - bob
Password: <输入用户 bob 的密码>
bob@server:~$ whoami
bob
bob@server:~$ exit
logout
user@server:~$
以其他用户身份执行单条命令 (不启动交互式 Shell)：
user@server:~$ su -c "apt update" root
Password: <输入 root 用户的密码>
... apt update 的输出 ...
user@server:~$
(注意：这仍然需要 root 密码)
2. sudo (Superuser DO / Substitute User DO)
作用： 允许被授权的普通用户以 root 或其他用户的身份安全地执行特定的命令。执行 sudo 时，系统提示输入的是当前用户的密码，而不是目标用户（如 root）的密码。工作方式：
用户在执行命令前加上 sudo (例如 sudo apt update)。系统提示输入当前用户的密码进行身份验证（首次使用可能需要输入，之后一段时间内通常不需要重复输入）。sudo 会检查配置文件 (/etc/sudoers 和 /etc/sudoers.d/ 下的文件)，判断当前用户是否有权以请求的权限（默认是 root）执行该特定命令。如果授权通过，则临时提升权限执行该命令。命令执行完成后，权限立即恢复到之前的普通用户状态。
特点：
需要输入当前用户的密码。 不需要知道 root 密码（这是关键的安全优势和管理便利）。精细的权限控制 (核心优势)： 管理员可以通过 /etc/sudoers 文件精确配置：
哪些用户/用户组可以使用 sudo。允许这些用户以哪个用户（通常是 root，也可以是其他用户）的身份执行命令。允许这些用户执行哪些特定的命令（带完整路径）或命令类别（如软件管理命令）。是否需要密码验证。
执行单条命令： sudo 通常用于临时提升单个命令的权限。命令执行后权限即失效。启动交互式 Root Shell (可选)： 虽然不推荐长期使用，但可以通过 sudo -i (模拟登录) 或 sudo -s (启动 Shell 但不完全模拟登录) 或 sudo su (效果类似 sudo -s) 获得一个 root Shell。退出时仍需使用 exit 或 Ctrl+D。详细的日志记录： sudo 会记录谁在什么时候执行了什么命令（通常记录在 /var/log/auth.log 或 syslog/journalctl 中），这对于审计和安全排查至关重要。环境变量： 默认情况下，sudo 出于安全考虑会重置大部分环境变量（env_reset 选项）。如果需要保留当前用户的环境（如 PATH），可以在 /etc/sudoers 中配置 env_keep 选项（需谨慎）。
sudo 使用示例
更新软件包列表 (需要 root 权限)：
user@server:~$ sudo apt update
[sudo] password for user: <输入用户 user 的密码>
... apt update 的输出 ...
user@server:~$
安装软件 (需要 root 权限)：
user@server:~$ sudo apt install nginx
... 安装过程输出 ...
user@server:~$
编辑需要 root 权限的系统配置文件：
user@server:~$ sudo nano /etc/nginx/nginx.conf
... 编辑完成后保存退出 ...
user@server:~$
查看只有 root 能读的日志文件：
user@server:~$ sudo tail -f /var/log/syslog
... 日志输出 ...
以 root 身份启动交互式 Shell (不推荐长期使用)：
user@server:~$ sudo -i
[sudo] password for user: <输入用户 user 的密码>
root@server:~# whoami
root
root@server:~# exit
logout
user@server:~$
(等效命令：sudo su, sudo -s)
以 其他 用户身份执行命令 (例如以用户 www-data 身份运行脚本)：
user@server:~$ sudo -u www-data /path/to/script.sh
[sudo] password for user: <输入用户 user 的密码>
... 脚本输出 ...
user@server:~$
(这需要在 /etc/sudoers 中授权用户 user 可以 sudo -u www-data 执行该脚本)
su vs sudo 关键区别总结
特性susudo目的切换用户身份 (启动新 Shell)以其他用户身份执行特定命令默认目标用户rootroot需要密码目标用户的密码 (如 root 密码)当前用户自己的密码权限范围切换到新 Shell 后，所有命令拥有目标用户权限仅限 sudo 后面的单条命令获得提升权限环境可加载目标用户完整环境 (su -)默认重置环境变量 (安全考虑)日志记录用户切换，不记录具体执行了哪些命令详细记录谁何时执行了什么命令 (关键审计)配置灵活性基本无配置 (依赖用户密码)高度可配置，精细控制谁可以做什么安全理念“全有或全无”“最小权限原则”典型使用需要长时间以目标用户身份操作 (逐渐被淘汰)临时执行需要特权的单个命令或少量命令
最佳实践与建议
优先使用 sudo： 现代 Linux 发行版（如 Ubuntu, Debian, Fedora, CentOS/RHEL 7+）默认推荐并配置使用 sudo。它更安全（不需要共享 root 密码，精细授权，详细审计日志）、更符合最小权限原则。禁用 root 密码： 在配置好 sudo 后，强烈建议通过 sudo passwd -l root 锁定 root 账户密码，强制所有管理员操作都通过 sudo 进行审计。谨慎配置 /etc/sudoers： 永远使用 visudo 命令编辑此文件！visudo 会在保存前检查语法错误，防止配置错误导致所有 sudo 访问失效（这将非常麻烦）。避免直接给用户 ALL=(ALL:ALL) ALL 这种万能权限，尽量按需授权特定命令。避免长期使用 root Shell： 即使通过 sudo -i 或 sudo su 获得了 root Shell，也应在完成任务后立即 exit。在 root Shell 中操作风险极高。理解 sudo 的环境： 如果遇到 sudo 找不到命令（如 sudo: npm: command not found），通常是因为安全重置了 PATH 环境变量。解决方法：
使用命令的绝对路径 (e.g., sudo /usr/bin/npm ...)。在 /etc/sudoers 中配置 env_keep += "PATH" (不推荐，可能有安全风险)。在 /etc/sudoers 中为该命令配置别名并指定安全路径。
利用命令别名： 在 /etc/sudoers 中可以定义命令别名 (Cmnd_Alias)，方便地对一组命令进行授权管理。
常见问题
Q：为什么我输入密码后提示 user is not in the sudoers file. This incident will be reported？
A：你的用户账户没有被管理员添加到 /etc/sudoers 文件中授权使用 sudo。你需要联系系统管理员。Q：sudo su 和 sudo -i 有什么区别？
A：两者通常都能获得 root Shell。
sudo -i：模拟 root 登录，加载 root 的环境配置文件（如 .profile, .bashrc），切换到 root 的家目录 (/root)。sudo su：调用 su 命令切换到 root。默认行为可能因系统而异，但通常类似于 sudo -s（启动 root 的 Shell，但不完全模拟登录环境，可能保持当前工作目录）。一般来说，sudo -i 更接近于一个真正的 root 登录会话。但在实践中，它们对于获取一个 root Shell 的目的效果相似。
Q：如何查看我有哪些 sudo 权限？
A：使用 sudo -l 命令。它会列出当前用户被允许通过 sudo 执行的命令列表（需要输入你的密码）。
总结
su 和 sudo 都是 Linux 权限管理的关键工具。理解 su 用于切换用户身份（尤其是切换到 root Shell），而 sudo 用于以提升的权限安全地执行特定命令（通常不需要知道 root 密码，且提供审计日志和精细控制）是核心。在现代 Linux 系统管理中，sudo 是首选和推荐的方式，它极大地增强了系统的安全性和可管理性。养成使用 sudo 执行管理任务的习惯，并谨慎配置 /etc/sudoers 文件。