直接运行groups即可查看当前用户实际生效的所有组名，空格分隔、不显示数字ID；但输出顺序不保证主组在前，新组需重新登录才生效，而id -gn或id -Gn更可靠。
直接运行 groups 就能立刻看到当前用户实际生效的所有组名，空格分隔，不显示数字 ID，适合快速确认权限上下文。它不依赖 sudo、不需参数、也不用指定用户名——敲完回车，输出就是你此刻 shell 会话真正拥有的组身份。
查自己 vs 查别人：权限和时效性差异
普通用户执行 groups（无参数）始终有效，结果反映当前进程已加载的组凭证；但加用户名如 groups alice 需要读取 /etc/group 文件权限，普通用户常因权限不足而报错或无输出。
- 查别人失败时，不是命令错了，而是系统限制了组信息可见性
- 即使能查到，输出也只是静态快照，不代表目标用户当前会话是否已继承新组
- 刚用
usermod -aG docker alice添加组，alice 必须新开登录会话（logout/login 或su - alice），groups才会更新
别轻信第一个组是主组：稳妥获取主组名的方法
groups 输出顺序不保证主组在前，脚本里用 cut -d' ' -f1 提取第一个组名极易出错。
- 正确方式：用
id -gn获取主组名称（name），或id -g获取主组 GID（number） - 若需所有组名且含主组，优先用
id -Gn—— 它比groups更可靠，尤其在较新 glibc 系统上绕过部分缓存逻辑 - 主组由
/etc/passwd第四字段定义，与/etc/group中的成员列表无关
调试权限问题时，为什么光看组名不够？
比如执行 docker 报 permission denied，仅确认 “docker” 在 groups 输出里还不够。
- 必须验证当前 shell 是否真的持有了
docker组的 GID，而不仅是名字匹配 -
id命令可一次性展示 UID、主 GID、全部附加组及其 GID，例如：id -u、id -g、id -G（数字）、id -Gn（名称） - 若脚本中需判断是否在某组，推荐
id -Gn | grep -qw docker，避免空格或换行导致字符串匹配失效
临时切换主组与刷新组上下文
不想登出重登录，又想让新组立即生效？newgrp 是可行方案，但有代价：
-
newgrp docker会启动一个新子 shell，并将docker设为当前会话的主组 - 退出该子 shell 后，原 shell 的组列表不变，仍需完整登录才持久生效
- 图形界面用户注意：仅重启终端不够，桌面会话仍用旧凭证，必须完全登出再登录
- 容器内执行
groups只能看到容器 namespace 内的组，无法感知宿主机新增组
