高危命令绝不该免密执行，应封装为受控、审计、带前置校验的安全脚本并仅对该脚本做最小化免密授权；直接对裸命令免密因sudo前缀匹配、参数滥用风险及配置错误会导致系统失控。

直接说结论：高危命令绝不该免密执行。所谓“特定高危命令”，比如 rm -rf /、chmod 777 /etc、userdel -r root、dd if=/dev/zero of=/dev/sda 等，本质上就不应被普通用户以任何方式（含 sudo）直接调用——免密只是放大风险，不是解决方案。

真正可行的做法是：不授权高危命令本身，而是封装成受控、审计、带前置校验的安全脚本，并仅对该脚本做最小化免密授权。

---

为什么不能对高危命令直接免密？

• sudo 对命令行做前缀匹配，不是全等匹配
  写 NOPASSWD: /bin/rm → sudo rm -rf /、sudo rm /etc/shadow; reboot 全部放行
• 高危命令天然缺乏上下文约束，参数极易被滥用
• 一旦配置错误或脚本被篡改，等于交出系统控制权

---

安全替代路径：用封装脚本替代裸命令

1. 写一个功能明确、输入受限的脚本
   例如：需清理临时目录，但禁止误删系统路径

   # /opt/bin/clean-tmp.sh
   #!/bin/bash
   set -u
   # 只允许清理预定义安全路径
   SAFE_PATH="/tmp/stale-logs"
   if [[ "$1" != "confirm" ]]; then
       echo "Usage: $0 confirm" >&2
       exit 1
   fi
   /bin/rm -rf "$SAFE_PATH"/*

2. 设好脚本权限与归属

   sudo chown root:root /opt/bin/clean-tmp.sh
   sudo chmod 0755 /opt/bin/clean-tmp.sh

3. 在 /etc/sudoers.d/ 中只授权该脚本（无参、绝对路径）

   # /etc/sudoers.d/clean-tmp
   deploy ALL=(root) NOPASSWD: /opt/bin/clean-tmp.sh

   ✅ 严格限定路径
   ❌ 不带参数、不带引号、不带通配符

4. 脚本内加固（可选但推荐）

   • 开头校验自身 SHA256
   • 显式调用 /bin/rm 而非 rm（防 PATH 劫持）
   • 检查调用者 UID 是否在白名单中

---

必须同步做的权限与审计控制

• 配置文件权限必须为 0440

  sudo chmod 0440 /etc/sudoers.d/clean-tmp

• 启用 sudo 日志审计（确认 /etc/sudoers 中有 Defaults logfile="/var/log/sudo.log"）
• 定期检查 sudo -l -U deploy 输出，确认只列出了预期命令
• 所有高危操作必须留痕：脚本里加 logger -t clean-tmp "run by $(whoami)"

---

如果真要动系统级高危命令（极特殊情况）

仅限以下组合，且必须书面审批+双人复核：

• 使用 Cmnd_Alias 明确枚举单条绝对路径命令（如 /usr/sbin/userdel -f alice）
• 绑定到专用管理组（如 %sysop），而非个人账号
• 加 requiretty 和 !authenticate（强制终端会话，禁交互式提权）
• 配合 sudoers 的 log_input / log_output 记录完整 stdin/stdout

但请注意：这类配置已超出“免密”范畴，本质是带审计的特权委托，不是简化操作。

不复杂但容易忽略。