必须启用 Defaults lecture=always 并配合 Defaults lecture_file 指向只读提示文件（如 /etc/sudoers.lecture，权限 444），才能实现每次 sudo 前强制展示合规警示；lecture=once 不满足持续合规要求，需避免使用。

要在新员工首次或每次使用 sudo 前强制展示合规警示（如安全责任告知、等保要求提示），核心是启用 Defaults lecture=always 并绑定自定义文本文件。该机制不依赖用户状态或首次登录标记，而是每次执行 sudo 命令前都触发——真正实现“提权即明示”。

配置 lecture=always 与 lecture_file

仅设 lecture=always 不会显示任何内容，必须配合 lecture_file 指向一个只读文本文件：

• 创建提示文件，例如 /etc/sudoers.lecture，写入清晰、正式的警示内容（含公司名称、责任条款、生效依据等）
• 设置严格权限：chmod 444 /etc/sudoers.lecture（不可写、不可执行，防止篡改）
• 在 /etc/sudoers 中添加两行（用 visudo 编辑）：
  Defaults lecture=always
Defaults lecture_file="/etc/sudoers.lecture"
• 确保没有其他 Defaults lecture=... 行（如 lecture=once）覆盖该设置

适配新员工场景的实用要点

对新员工而言，关键不是“只看一次”，而是“每次提权都确认”。因此需注意：

• 不要用 lecture=once：它只在用户首次 sudo 时提示，后续不再出现，不满足持续合规要求
• 提示文本中建议包含可追溯要素，例如“本人已阅读并理解本提示，知晓擅自提权导致的安全后果”，增强法律效力
• 若新员工通过 SSH 登录，需确认未启用 requiretty 限制（否则非 TTY 环境下 sudo 会失败，连提示都看不到）
• 测试时用新员工账号执行 sudo -l 或 sudo whoami，确认回车后才进入密码输入环节

避免常见失效原因

即使配置正确，以下情况会导致提示不出现：

• lecture_file 路径错误、文件不存在，或权限不是 444（sudo 会静默忽略）
• 同一行中多个 Defaults 合并书写，例如 Defaults lecture=always,lecture_file="/path" —— 部分旧版 sudo 不支持逗号分隔，应拆成两行
• 用户属于 %wheel 或 %sudo 组，但组级配置被个人行覆盖（检查 sudo -l 输出是否含 lecture 相关提示）
• 系统启用了 env_reset 且未保留必要环境，但此条通常不影响 lecture 显示

验证与审计支持

合规不仅靠显示，还要可验证：

• 启用 Defaults logfile="/var/log/sudo.log"，日志中每条 sudo 记录前会标注 “lecture displayed”，便于审计回溯
• 提示文本本身建议加入版本号和发布日期（如“v2.1｜2026-07-20”），方便统一更新和策略追踪
• 新员工入职流程中，可将“成功触发 sudo 提示”作为权限开通完成的验收动作之一