sudo默认要求输入当前用户密码而非root密码，因其基于调用者身份验证，通过PAM校验用户自身密码并依据/etc/sudoers授权规则临时提权，确保可追溯性与最小权限原则。

sudo 默认就是要求用户输入自己的密码，而不是 root 密码。这是它的安全设计核心：验证“你是谁”，而不是“你知不知道 root 是什么”。只要用户在 /etc/sudoers 中被授权（比如属于 sudo 组或有明确规则），执行 sudo 时就只需输自己账户的密码，系统据此确认身份并临时赋予对应权限。

为什么输的是自己的密码

这是因为 sudo 的默认认证策略是基于调用者（caller）身份验证，而非目标用户（target user）。它通过 PAM 框架调用 pam_succeed_if.so user ingroup sudo 等模块检查权限，再由 pam_unix.so 验证当前用户的密码。整个过程不涉及 root 密码读取或比对——root 密码甚至可能已被禁用（如麒麟OS、Ubuntu 桌面版默认无 root 密码）。

如何确保始终验证用户自身密码

多数发行版开箱即用即满足该要求。若发现异常（例如提示输 root 密码），说明 /etc/sudoers 被修改过。需检查并修正以下两项配置：

• 确认未启用 Defaults targetpw：该设置会让 sudo 改为验证目标用户（如 root）密码，应删除或注释掉这一行
• 确认未设置 Defaults rootpw：效果同上，也需移除
• 检查用户规则中未强制指定 auth_user 或类似自定义 PAM 行为

增强该行为的常用加固项

可在 /etc/sudoers 中添加以下 Defaults 设置，进一步明确和强化“只验本人密码”的逻辑：

• Defaults !targetpw：显式禁用目标用户密码验证
• Defaults !rootpw：显式禁用 root 密码验证
• Defaults authenticate：确保每次执行都触发密码验证（防止被 !authenticate 关闭）
• Defaults passwd_timeout=1：将密码缓存时间设为 1 分钟，缩短未授权操作窗口

验证是否生效的方法

修改后无需重启服务，立即生效。可运行以下命令快速确认：

• sudo -l：查看当前用户被授予的权限列表，成功显示即说明 sudo 认证通路正常
• sudo whoami：应输出 root，且过程中提示输入的是当前用户密码
• sudo grep "auth" /var/log/auth.log | tail -3：日志中应出现类似 user : TTY=... ; PWD=... ; USER=root ; COMMAND=/usr/bin/whoami，其中 user 是你的用户名，不是 root