NOPASSWD仅跳过sudo执行时的密码提示，不跳过系统登录认证、RunAs身份限制、SELinux/AppArmor策略或requiretty检查；必须配合绝对路径、Cmnd_Alias和/etc/sudoers.d隔离配置，遵循最小权限原则。
NOPASSWD不是“免登录”或“免认证”，而是让sudo跳过密码输入环节，仅针对已通过系统身份验证的用户生效。它不降低准入门槛，只省去重复输密步骤；真正起作用的前提是用户本身能正常登录、且规则语法正确、路径精确、未被更高优先级规则覆盖。
它到底跳过了什么
NOPASSWD只跳过sudo执行时的密码提示，其余所有安全机制照常运行：
- 用户必须真实存在（本地账户或NSS可解析）
- 仍受RunAs身份限制（比如只能以root运行特定命令，不能随意切用户）
- SELinux/AppArmor策略不绕过，命令能否执行仍由MAC策略决定
- requiretty为true时，非终端环境（如SSH单命令调用）可能直接拒绝，和NOPASSWD无关
它不跳过什么
常见误解是“加了NOPASSWD就等于完全放开”，实际仍有硬性约束：
- 首次使用sudo仍需完成一次完整认证（除非已处于sudo timestamp有效期内）
- !authenticate不是NOPASSWD的简化版——它依赖timeout机制，且不适用于脚本自动化
- 命令必须写绝对路径，/usr/bin/ls ≠ ls，通配符如/usr/bin/*不被允许
- 若配置了多个sudoers规则，后加载的规则可能覆盖前序NOPASSWD设置
怎么写才安全有效
最小权限原则不是建议，是必须遵守的操作底线：
- 避免ALL=(ALL) NOPASSWD: ALL，这等同于授予root shell能力
- 用Cmnd_Alias定义可信命令集，例如：
Cmnd_Alias WEBCTL = /bin/systemctl restart nginx, /usr/bin/tail /var/log/nginx/access.log - 优先写入/etc/sudoers.d/下的独立文件，便于管理与回滚
- 始终用sudo visudo编辑，防止语法错误锁死sudo功能
验证和排错关键点
配置后别急着跑脚本，先人工确认是否按预期生效：
- 用sudo -l -U username查看该用户实际获得的NOPASSWD命令列表
- 测试时用完整路径执行，例如sudo /usr/bin/systemctl status nginx
- 检查/var/log/auth.log中是否有“sudo: ... no password required”日志项
- 若失败，注意是否因路径大小写、符号链接、bash wrapper等导致匹配失败
