第一反应是检查/etc/sudoers及其包含文件语法错误；sudo会因任一文件语法错误（如漏冒号、括号错位）直接拒绝所有请求，报parse error，并中止解析，需用visudo -c定位具体文件与行号。
遇到 sudo 提权失效，第一反应不是重装或重启，而是确认是不是 /etc/sudoers 或其包含文件存在语法错误——这是最常见、也最容易被忽略的根源。一旦语法出错，sudo 会直接拒绝所有请求，并报类似 parse error near line X 的错误，连 sudo -i 都无法执行。
查配置：从主文件到 include 目录逐层定位
sudo 加载配置是严格顺序的：先读 /etc/sudoers，再按字母顺序加载 /etc/sudoers.d/ 下所有合规文件（不含 ~ 或 .bak 后缀）。任一文件出错，整个解析就中止。
- 运行
sudo visudo -c，它会明确提示哪个文件、哪一行出错；若提示syntax error in /etc/sudoers.d/02-deploy near line 7，就直接打开那个文件 - 注意
#includedir /etc/sudoers.d这行必须未注释、无空格、严格匹配；如果它写在主文件末尾，而你的自定义规则又放在它之后，那些规则会被跳过 - 检查
/etc/sudoers.d/下文件名是否含点号（如nginx.conf）——多数系统只加载无扩展名或白名单后缀的文件，否则静默忽略
验语法：空格、冒号、括号一个都不能错
sudoers 对格式极度敏感，不是“差不多能用”，而是“差一点就全挂”。常见低级但致命的错误包括：
- 漏掉 NOPASSWD 后面的冒号：
NOPASSWD ALL❌ → 正确是NOPASSWD: ALL✅ - 括号位置错：
%wheel ALL=(ALL NOPASSWD:ALL)❌ → 应为%wheel ALL=(ALL) NOPASSWD: ALL✅ - 命令路径不一致：定义了
Cmnd_Alias REBOOT = /sbin/reboot，授权行却写成%wheel ALL=(ALL) /usr/bin/reboot - 用 tab 替代空格、行尾多空格、别名定义漏前缀（如写
webadmins = %www-data而不是User_Alias webadmins = %www-data）
测上下文：用户身份与规则是否真正匹配
语法没错，不代表权限生效。sudo 匹配规则依赖多个维度：用户名、主机名、目标用户、命令绝对路径，缺一不可。
- 用
id -nG确认当前用户所属组，比如 Ubuntu 默认靠%sudo组生效，而非%wheel - 执行
sudo -l查看实际被允许的命令列表；若返回空或报错，说明规则未命中或被更早的拒绝规则覆盖 - 检查是否启用了
requiretty：远程脚本调用 sudo 时可能因无 TTY 被拒，可临时加-n测试，或在 sudoers 中加Defaults !requiretty
看日志：auth.log 或 secure 是最终判据
当其他方法都模糊时，日志不会说谎。失败后立即查：
- Debian/Ubuntu：
sudo grep sudo /var/log/auth.log | tail -10 - RHEL/CentOS：
sudo grep sudo /var/log/secure | tail -10 - 重点找关键词：
NOT in sudoers（用户不在授权范围）、no tty present（TTY 问题）、match error（规则匹配失败）、unable to initialize policy plugin（语法错误已导致策略加载失败）
