最安全、最推荐的方式是将用户加入系统预设的wheel（RHEL系）或sudo（Debian/Ubuntu系）组，而非手动编辑/etc/sudoers；执行sudo usermod -aG wheel username或sudo usermod -aG sudo username，再重新登录生效。
直接给普通用户加 sudo 权限，最安全、最推荐的方式是把用户加进系统预设的权限组，而不是手改 /etc/sudoers —— 一不小心语法错，sudo 就彻底失效，连 root 都救不回来。
用 usermod 加入 wheel 或 sudo 组（发行版决定用哪个）
RedHat 系列（CentOS/RHEL/Rocky/AlmaLinux）默认认 wheel 组；Debian/Ubuntu 系列默认认 sudo 组。别混用，否则权限不生效。
- 查当前系统用哪个组：运行
grep -E '^(%wheel|%sudo)' /etc/sudoers，看哪一行没被注释（即前面没#） - 加用户进对应组：
sudo usermod -aG wheel username（RHEL系）或sudo usermod -aG sudo username（Debian系） -
-aG是关键：-a表示“追加”，不覆盖已有附属组；-G指定组名。漏掉-a会清空用户所有附属组，可能丢 SSH 登录权限 - 改完必须重新登录（或新开 shell），组变更才生效
用 visudo 手动授权（需要精细控制时才用）
只在以下情况才考虑手动编辑：usermod 不够用，比如要限制只能重启某个服务、或免密执行某条命令。否则没必要碰 visudo。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 永远用
sudo visudo打开，不是vim /etc/sudoers——visudo保存前会校验语法，错一次就锁死 sudo - 加规则示例：
username ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx - 注意字段顺序：
用户 主机=(目标用户) 命令，中间空格不能少，NOPASSWD:冒号后要空一格 - 避免写
ALL=(ALL) ALL这种全开配置，除非测试环境；生产环境优先走最小权限原则
验证权限是否真生效
别信“加了组就一定行”，很多问题出在验证方式不对或缓存干扰。
- 先切到目标用户：
su - username（注意-，保证加载完整环境） - 运行
sudo -l：显示 “(ALL) ALL” 表示有完整权限；显示 “User username is not allowed to run sudo” 说明组没生效或/etc/sudoers里没放行该组 - 如果
sudo -l报错但id显示已进组，检查/etc/sudoers里对应组那行是否被注释，以及是否拼错组名（比如写成%wheel却漏了百分号） - 别用
sudo whoami测试——它成功只说明能跑通，不代表你有真正需要的权限（比如重启服务）
真正容易被忽略的是：组变更后必须全新登录，SSH 重连或 su - 都不算“新会话”；还有就是不同发行版对权限组的默认启用逻辑不一致，硬套 Ubuntu 教程到 CentOS 上大概率失败。
