用 groups 查当前会话用户所属组，但需重新登录或 newgrp 才生效；id 更可靠，能准确显示主组与附加组；查组内用户需 grep /etc/group 或 getent group；权限未生效多因未刷新会话组信息。

怎么查一个用户属于哪些组

直接用 groups 命令，后面跟用户名（不加参数默认查当前用户）：

• groups → 查当前登录用户所属的组
• groups alice → 查用户 alice 所属的所有组（包括主组和附加组）

注意：这个命令只显示用户「当前会话生效」的组成员关系。如果刚用 usermod -aG 加了组，但没重新登录或没用 newgrp 切换，groups 不会立刻反映新组 —— 这是新手最常卡住的地方。

为什么 id 比 groups 更可靠

id 输出更完整，能区分主组（gid）和附加组（groups），且不受会话缓存影响：

• id → 显示当前用户完整的 UID、GID、所有组 ID 和组名
• id -nG → 只输出组名（等价于 groups，但结果更稳定）
• id -u username 或 id -g username → 单独查 UID/GID

常见误判场景：用户主组是 users，但被加进了 docker 组，groups 有时漏掉后者；而 id 总是准确返回内核当前维护的组列表。

查某个组里有哪些用户

没有单命令直接反查，得看 /etc/group 文件：

• grep '^docker:' /etc/group → 查组 docker 的定义行，末尾逗号分隔的用户名就是该组成员
• 注意：只有「显式添加」的用户才出现在这里；主组用户不会列在该组字段中（比如用户 bob 主组是 bob，那 bob 不会出现在 /etc/group 的 bob 行末尾）
• 如果用了 LDAP 或 SSSD，/etc/group 可能不包含远程组成员，此时得用 getent group docker

别依赖 lid（已废弃）或 members（非所有发行版默认安装）—— 它们要么不可靠，要么根本不存在。

权限没生效？先确认 shell 会话是否重载了组信息

Linux 组成员关系是在用户登录时由 PAM 读取并固化到会话中的，中途改组不会自动同步：

• 改完 usermod -aG www-data alice 后，必须让 alice 重新登录，或在当前会话运行 newgrp www-data（会启新子 shell）
• sudo su - alice 不等于重新登录，它复用父 shell 的组列表；真正有效的是 su - alice（注意短横）
• systemd 用户服务（如 ~/.config/systemd/user/ 下的服务）可能缓存旧组信息，需要 systemctl --user daemon-reload + 重启服务

很多「明明加了组却没权限」的问题，根源都在这一步没做 —— 不是命令写错了，是没刷新上下文。