sudoers 文件必须用 visudo 编辑，因其具备语法检查功能，可防止格式错误导致 sudo 失效；配置组权限需加 % 前缀，路径须精确匹配，命令需显式列出或谨慎使用通配符，并验证用户归属、路径及规则顺序。
sudoers 文件必须用 visudo 编辑，不能直接 vi /etc/sudoers
直接编辑 /etc/sudoers 极易因格式错误导致整个 sudo 失效，且无法恢复（因为连 sudo visudo 都执行不了）。visudo 会在保存前语法检查，出错会拒绝写入，是唯一安全的编辑方式。
常见错误现象：sudo: parse error in /etc/sudoers near line 25，之后所有 sudo 命令均报错退出。
- 必须以 root 身份运行：
sudo visudo或先su -再运行visudo - 不要加
!强制保存（如:wq!），那是掩耳盗铃 - 修改后不报错 ≠ 配置生效，需实际测试命令（如
sudo -l -U username查看该用户被允许的命令）
给组配置 NOPASSWD 权限时，组名前必须加 %
比如想让 docker 组成员免密运行 docker 相关命令，规则必须写成：
%docker ALL=(ALL) NOPASSWD: /usr/bin/docker, /usr/bin/docker-compose
漏掉 % 就变成匹配用户名为 docker 的用户，而不是组。系统不会报错，但权限完全不生效。
- 验证是否在组中：
groups username或id -nG username - 组名区分大小写，
%Docker和%docker是两个不同组 - 路径必须写全且与实际命令一致（
which docker查真实路径）
指定命令免密时，通配符和参数要谨慎处理
NOPASSWD 后面的命令列表支持简单通配符（如 /usr/bin/docker*），但不支持 shell 展开或正则。更关键的是：带参数的命令必须显式列出，否则可能被绕过或拒绝。
例如，只写 /usr/bin/docker，则 sudo docker ps 仍会要求密码；而写 /usr/bin/docker *（注意空格和星号）才允许任意子命令。
- 推荐写法：
/usr/bin/docker ps、/usr/bin/docker images、/usr/bin/docker-compose up—— 明确、安全 - 危险写法：
/usr/bin/docker *或/usr/bin/sh—— 可能被用于提权 - 如果命令含空格或特殊字符（如
systemctl start nginx），需用引号包裹："systemctl start nginx"
配置后用户仍被要求输密码？检查这三点
最常被忽略的是：用户不在目标组、命令路径不匹配、或已有更高优先级规则覆盖了你的设置。
- 确认用户已加入对应组：
usermod -aG docker username，并重新登录（或newgrp docker） - 确认命令真实路径：
which docker，不是/usr/local/bin/docker就别写成/usr/bin/docker - sudoers 文件按顺序匹配，靠后的规则不会覆盖前面的
ALL=(ALL) ALL类宽泛规则；把你的NOPASSWD行放在默认规则之前更稳妥
复杂点在于：一条规则里混用 PASSWD 和 NOPASSWD 标签时，顺序和括号嵌套极易出错，建议单条规则只做一件事。
