限制用户仅执行特定命令需精准配置/etc/sudoers：使用绝对路径、禁用shell特性；通过Cmnd_Alias定义白名单；按用户/组、主机、目标身份最小化授权；禁用shell转义；并严格验证调试。
要限制用户只能执行特定命令，关键在于精准配置 /etc/sudoers 文件，避免过度授权，同时确保命令可被无交互、无密码（如需）安全调用。
明确用户与命令路径
sudoers 规则对命令路径极其敏感——必须使用绝对路径，且不能包含通配符或 shell 特性（如重定向、管道、变量）。例如：
- ✅ 正确：
/bin/ls /var/log或/usr/bin/systemctl status nginx - ❌ 错误：
ls（未指定路径）、/bin/ls *（含通配符）、/bin/echo "ok" > /tmp/log（含重定向）
建议先用 which 或 command -v 确认命令真实路径，再用 ls -l 检查是否为硬链接或别名指向的可执行文件。
使用 Cmnd_Alias 定义白名单命令组
将多个受信命令归类为别名，提升可读性与复用性。在 /etc/sudoers 中添加：
Cmnd_Alias SAFE_LOG = /bin/ls /var/log, /usr/bin/tail -n [0-9]* /var/log/syslog, /bin/grep -- -E [a-zA-Z0-9_]+ /var/log/auth.log
注意：
– 参数范围用方括号限定（如 [0-9]*），避免任意参数注入；
– 多个参数之间用空格分隔，整个命令项视为一个完整匹配单元；
– 若需支持不同参数组合，每种组合需单独列出或使用通配符（谨慎评估风险）。
绑定用户、主机与权限范围
最小权限原则下，按用户（或用户组）、目标主机、可用命令三者精确约束。示例规则：
- 限制用户
deploy只能在本机以www-data身份重启 nginx：deploy ALL=(www-data) NOPASSWD: /usr/bin/systemctl restart nginx - 允许组
ops无密码查看日志，但禁止执行其他操作：%ops ALL=(root) NOPASSWD: SAFE_LOG - 禁止 shell 转义：显式禁用
sudo su、sudo -i、sudo /bin/bash等高危命令（不列入 Cmnd_Alias 即默认不可用）
验证与调试技巧
编辑后务必用 sudo visudo -c 检查语法；实际测试前，建议在非生产环境模拟：
- 切换目标用户，运行
sudo -l查看其被授权的命令列表 - 尝试执行授权命令，确认是否成功且无多余提示
- 故意传入非法参数（如
sudo /bin/ls /etc/shadow），验证是否被拒绝 - 检查
/var/log/secure或/var/log/auth.log中 sudo 日志，确认拒绝行为有记录
若命令含脚本，确保脚本本身不可写、不依赖外部可篡改文件，并考虑用 sha256sum 校验或封装为只读 wrapper 二进制。
