直接运行 groups 命令可查看当前用户所属组，空格分隔；查其他用户用 groups username；组变更需重新登录才生效，因组信息仅在会话初始化时加载。
怎么查当前用户属于哪些组
直接运行 groups 命令，它会输出当前登录用户的全部组名，空格分隔。这是最轻量、最常用的方式。
如果想查其他用户（比如 alice），加用户名参数：groups alice。注意：普通用户只能查自己或公开信息，不能通过这个命令探测系统中所有用户组关系。
- 别用
id命令替代时忽略输出结构——id -Gn效果等价，但id默认还带 UID/GID 数字，容易干扰快速扫读 - 脚本里取值建议用
groups | tr ' ' '\n'拆成行，避免空格导致的字段错位 -
groups读的是 /etc/group + 当前会话的组缓存，刚加完组但没重新登录，这里可能不显示
怎么查某个组里有哪些用户
/etc/group 文件记录了组和成员的映射，但要注意：主组（primary group）用户不会显式列在这里，只有额外添加的附属组（supplementary groups）才会出现在字段末尾。
查 sudo 组的成员，运行：getent group sudo。比直接 cat /etc/group 更可靠，能穿透 LDAP/NIS 等外部源。
- 输出格式是
groupname:x:GID:user1,user2,user3，最后一段才是显式成员 - root 用户默认不在
sudo组里——它是靠 UID=0 绕过检查的，所以getent group sudo不会列出 root - 用
grep '^sudo:' /etc/group在纯本地环境也行，但遇到 nsswitch 配置了 ldap 时会漏数据
usermod -aG 为什么加了组却没生效
常见现象：执行 usermod -aG docker alice 后，立刻切到 alice 用户运行 docker ps 报 “permission denied”，groups 也看不到 docker。
根本原因是 Linux 组成员关系只在用户**登录会话建立时**加载一次，后续修改不热更新。
- 必须让目标用户完全退出所有 shell（包括 ssh、tmux、screen），再重新登录
- 图形界面用户常踩坑：只关终端、不注销桌面会话，组信息仍沿用旧快照
-
-aG中的-a很关键——不加的话，usermod -G会清空该用户所有附属组，只剩你指定的那一个 - 检查是否成功：登录后立即跑
id -nG，确认 docker 出现在输出里
groups 命令和 /etc/group 的权限差异
groups 是普通用户可执行的，而直接读 /etc/group 虽然通常可读，但某些加固系统会设为 640 权限，非 root 或 group 组成员看不到内容。
getent group 则走 NSS 框架，权限由后端决定（比如 LDAP 查询依赖网络和凭据），不一定比直接读文件更“安全”，但更统一。
- 生产环境排查时，优先用
getent group $GROUPNAME，它不依赖文件路径或权限，兼容性最好 - 写自动化脚本别硬编码解析 /etc/group，不同发行版字段顺序或注释风格可能有微小差异
- 不要假设所有组都在本地——有些组（如
systemd-journal）是 systemd 运行时动态创建的，getent能查到，/etc/group 里没有
组管理真正的复杂点不在命令怎么敲，而在“哪个上下文加载了哪套组列表”——SSH 登录、su 切换、systemd 服务、容器内进程，各自的组继承逻辑都不一样。改完组先确认具体场景的会话生命周期，比反复查命令有用得多。
