Linux 中的 Root 权限：它是什么，它的用途是什么，以及如何安全使用它

信息技术数字 » 资源 » Linux 中的 Root 权限：它是什么，它的用途是什么，以及如何安全使用它

如果你之前使用 Windows 系统（参见Windows 用户帐户），现在转而使用 Linux，那么 root 用户这个名字听起来可能很陌生，但它实际上是区分稳定安全系统和彻底崩溃系统的关键要素。root 用户是系统的“绝对所有者”，几乎可以安装、删除、破坏和修复任何程序，而无需征得许可。

了解 Linux 系统中 root 权限的用途、它与 `sudo` 和 `su` 命令的关系以及相关风险，对于管理系统至关重要，无论该系统是家用笔记本电脑还是生产服务器。本文将以通俗易懂的语言详细解释 root 权限是什么，它在不同发行版（尤其是 Ubuntu）中的使用方式，它的潜在危险以及避免系统崩溃的最佳实践。

Linux 中的 root 用户是什么？它有什么特殊之处？

在任何 GNU/Linux 系统中，都有一个拥有完全权限的用户，称为 root，也称为超级用户。该用户的 UID 为 0，不受通常的文件和进程权限限制：它可以读取、修改或删除任何文件，安装或卸载软件，更改系统设置，管理其他用户，以及访问关键服务。

如果将其与 Windows 系统进行比较，root 用户相当于 Administrator，但权限更大。因为在 Linux 系统中，权限模型更加精细，用户和服务之间的分离也更加严格。普通用户在类似这样的路径下可以执行的操作是有限的。 /etc, /usr, /var o /bootRoot权限允许你无需请求许可即可访问任何地方。

除了普通用户和 root 用户之外，Linux 还定义了权限非常有限的“系统用户”或服务帐户（守护进程），用于运行 Web 服务器、数据库或其他守护进程。这确保即使某个服务遭到入侵，攻击者也不会自动获得系统的完全访问权限……除非他们设法将权限提升到 root。

默认情况下，标准用户无法安装程序、修改全局配置文件或在敏感区域创建目录。要执行这些任务中的任何一项，您都需要使用诸如以下工具来提升权限： sudo o su这些正是以受控方式“调用”超级用户的常用机制。

在许多现代发行版中，尤其是 Ubuntu 及其衍生版本，直接 root 登录已被禁用。相反，在安装过程中会创建一个属于管理员组的普通用户（例如， sudo o admin）并且该命令被使用 sudo 要执行管理操作，需要请求您自己的密码，而不是 root 密码。

普通用户、root 用户和 sudo 组之间的区别

Linux 实现了一个基于用户和组的权限系统。总的来说，在日常使用中，当我们谈到 root 权限时，可以区分出三种主要的账户类型：

普通用户这些是系统用户的账户。他们拥有…… 主页 它们可以在自己的目录中安装程序、运行桌面应用程序、保存文档等等。然而， 他们无法执行系统管理任务 如何安装全局软件包，如何修改配置 /etc 或管理其他用户，除非他们使用 sudo o su.

root 用户是拥有绝对控制权的超级用户。除了内核本身或高级安全机制施加的限制外，它不受任何其他权限限制。它可以“随心所欲”，从删除根目录到更改任何文件的权限，无所不能。正因如此，不建议将其用于日常任务。

管理员用户（sudoers）：是属于特定群体（通常是）的普通用户 sudo o admin）Y 他们拥有以 root 用户身份执行命令的权限。 sudo例如，要将用户添加到组 sudo 你可以使用类似这样的方法：
sudo usermod -aG sudo nombreusuario

用户一旦成为 sudo 用户组成员，就可以通过添加前缀来执行特权命令。 sudo系统会要求您输入密码（不是root密码），如果密码正确，它将以超级用户权限执行命令。这在安全性和便捷性之间取得了良好的平衡。

根在实践中是什么？它有什么用途？

理论上讲，root 用户是系统用来进行任何深度更改的身份。您可以继续使用普通用户帐户，仅在必要时才访问 root 用户。让我们来看看它的一些主要用途。

安装或卸载系统软件软件包管理器（例如） apt, dnf o pacman他们需要写入受保护的路径，所以 它们始终以 root 权限运行。一个典型的例子是：
sudo apt install vlc

编辑系统配置文件大多数系统服务和程序都是通过目录中的文本文件进行配置的，例如 /etc要使用编辑器打开并保存这些文件，您需要拥有更高的权限。例如：
sudo nano /etc/hosts

更改root用户密码或其他用户密码诸如更改超级用户自身密码或其他帐户密码之类的操作，都需要访问系统的密码数据库。一个典型的命令是：
sudo passwd root

执行可能危险的命令。 类似的工具 rm （删除）， chmod （更改权限）， chown （变更所有者）或 mkfs （格式）如果使用不当，会造成很大的损害。 该系统需要 root 权限才能执行影响关键文件或设备的操作。 防止普通用户意外破坏系统。

管理机器的启动、关机和重启。. 命令如下 reboot, poweroff 或高级处理 systemctl 关于系统服务 他们还需要超级用户权限。。 有关更多信息 systemd 及其服务管理 您可以查阅相关文档。否则，任何用户都可以随时重启生产服务器。

实际上，如果 Linux 系统中出现“权限被拒绝”错误，则很可能需要以 root 权限运行该程序。 运用 sudo 或者暂时切换到超级用户模式 su.

sudo 和 su 命令：何时使用哪个

一旦你理解了 root 是系统的“所有者”，接下来就需要了解如何从你的普通用户帐户获得这些权限。实现这一目标的两种经典工具是 sudo y su虽然很多人将它们混淆，但它们的功能并不完全相同。

sudo （“superuser do”）用于以其他用户（通常是 root 用户）的权限执行单个命令。您无需切换会话，也无需“以 root 用户身份执行所有操作”；只有该特定命令会以提升的权限执行。例如：
sudo apt install gparted

每次你使用 sudo 系统会要求您输入密码（如果您最近没有输入过密码）。如果几分钟内没有进行任何操作，sudo“票据”就会过期，您需要重新进行身份验证，这增加了一层重要的安全保障。

su （“切换用户”）在同一会话中更改您的用户身份如果使用时不带任何参数，您将获得 root 权限（系统会要求输入 root 密码），并且所有后续命令都将以该权限执行，直到您退出为止。 exit。 例如：
su
Contraseña:
whoami # devuelve 'root'

你也可以使用 su nombreusuario 从一个用户切换到另一个用户前提是您知道目标帐户的密码。这将完全更改环境，使其与新用户的环境保持一致（变量、 主页等等）建议使用 su - o su - nombreusuario.

一般来说，使用被认为更安全、更可取。 sudo 针对特定命令 并诉诸 su 仅当您确实需要长时间的 root 会话时（例如，在恢复任务或复杂维护中）。

Ubuntu及其衍生发行版中root的特殊性

Ubuntu 和许多基于 Ubuntu 的发行版遵循相当明确的安全理念：root 用户存在，但无法直接登录。这意味着在标准安装后，无论在终端还是图形环境中，您都无法使用密码以 root 用户身份登录，因为该用户没有被分配密码。

相反，Ubuntu 选择大量使用 sudo安装过程中，会创建一个属于该组的管理员用户。 sudo之后，所有行政任务都通过以下方式完成：
sudo comando

如果你需要在 Ubuntu 中获得“完整”的 root shell，你有几种安全的选择。:
sudo -i # 打开 root 登录会话
sudo su - # 切换到 root 用户并登录环境

这两种方法都会让您以 root 用户身份操作该终端，直到您使用 `exit` 命令退出。 exit你会发现提示通常会发生变化，并以……结尾。 # 而不是 $这是你拥有超级用户权限的典型标志。务必牢记这一点，避免在不应执行危险命令的地方执行此类命令。

虽然不建议这样做，但您可以通过为 root 用户分配密码来启用 Ubuntu 中的 root 用户。 搭配：
sudo passwd root
输入并确认新密码后，root 权限将被“解锁”，之后即可使用例如以下功能： su 没有事先使用 sudo，甚至不允许通过 TTY 或 SSH 直接登录（在暴露的服务器上强烈不建议这样做）。

随意使用根管的真正风险

以 root 用户身份操作却不清楚自己在做什么，就像在高速公路上倒车：也许能行，但哪怕一秒钟的疏忽都会导致灾难性的后果。Linux 默认设计得相当安全，但一旦提升权限，许多保护措施就会失效。

第一个主要风险是意外删除或损坏文件系统。例如：
rm -rf /
rm -rf /*
或者更微妙的结构，例如：
rm -rf "$directorio"/*
如果以 root 用户身份运行，并且路径与您想象的不同，它们可以在几秒钟内摧毁整个系统。有时候，一个空变量、一个放错位置的斜杠或一个放错位置的制表键，就可能将一个看似无害的命令变成一场灾难。

第二个主要危险是使用完全权限安装恶意软件。未经检查代码就以 root 用户身份从互联网下载并运行脚本，就好比把家门钥匙交给陌生人。恶意脚本可以安装rootkit、键盘记录器或后门程序，修改内核，监视你的所有操作，并且能够长时间隐藏。

通过篡改关键文件权限，也相对容易破坏系统安全。例如，如果您运行类似这样的命令：
chmod 000 /etc -R
或者您更改了权限 /boot 或 /etc/passwd 在不了解自己在做什么的情况下， 你可能会使机器无法启动或使用户身份验证无法进行。很多情况下，唯一的解决办法是使用 LiveCD 甚至重新安装系统。

从安全角度来看，始终以 root 用户身份运行会使该帐户成为单点故障。如果攻击者获得 root 权限（通过暴力破解、网络钓鱼、恶意软件等方式），他们就拥有完全控制权：他们可以加密磁盘、窃取数据、加入僵尸网络，或者利用您的服务器攻击第三方。为了降低这些风险，您应该考虑使用 SELinux和其他保护机制来加强安全防护。

此外，根茎的大量使用使得溯源变得困难。当使用以下命令执行命令时 sudo系统会记录是谁在何时发起的，而如果所有操作都以 root 用户身份执行，则无法清楚地了解每个操作背后的用户是谁，这会使审计和问题诊断变得复杂。

输入 sudo 密码时显示星号

在许多发行版（例如 Ubuntu）中，默认情况下输入 sudo 密码时不会显示任何点号或星号。这原本是为了防止他人仅通过查看屏幕就推断出密码长度而采取的安全措施，但实际上却非常不方便：输入后似乎没有任何反应。

一段时间以来，sudo 允许激活一种名为“ pwfeedback它会在你输入的每个字符后显示一个星号。它不会显示你的密码，但可以确认键盘有响应，并帮助你检测拼写错误。

要启用它，您需要使用安全工具编辑 sudo 配置。 visudo这样会在保存前验证语法，防止您因低级错误而丢失 sudo 权限。步骤如下：

1. 打开 sudo 设置：
sudo visudo

2. 添加以下行：
Defaults pwfeedback

3.保存并退出编辑器

从那一刻起，每次你输入 sudo 密码时，都会出现星号。如果想恢复到原来的行为，只需使用 `return` 删除该行即可。 visudo.

禁用或阻止 root 帐户

在多人共享同一台计算机的环境中，root 密码很容易被滥用。如果太多人知道​​这个密码，迟早会有人造成（或遭受）重大问题。一个非常合理的解决方案是禁用 root 账户，只使用 sudo 命令。

锁定 root 帐户后，即可阻止用户直接以该用户身份登录。 而且你还能阻止它被使用。 su 使用您的密码获取 root 权限。但是， 已授权用户仍可使用 sudo 执行特权指令。

在许多发行版中，只需运行以下命令即可锁定 root 帐户:
sudo passwd -l root

此命令会“冻结”root密码，使其无法使用。如果以后需要重新激活，您需要设置一个类似这样的新密码：
sudo passwd root

如果您的root密码丢失，请找回或更改它。

如果您忘记了 root 密码或帐户被锁定需要恢复，也别担心。Linux 提供了多种重置密码的方法，通常是通过以特殊模式启动系统或使用 LiveCD。

一个非常常见的方法是通过 GRUB 引导菜单，使用恢复模式。许多发行版都有一个“高级选项”选项，您可以在其中选择“恢复模式”。选择此选项会加载一个功能受限的环境，其中包含一些救援选项。

如果您选择在恢复模式下获取 root 控制台，标准流程通常是：

1. 以写入权限挂载文件系统：
mount -o rw,remount /

2. 设置root用户的新密码：
passwd root

3. 同步数据并重启以应用更改：
sync
reboot

另一种主要方法是从 Linux 发行版的 LiveCD 或 LiveUSB 启动（例如，Ubuntu 的“试用而不安装”模式），然后从外部对已安装的系统进行操作。

在使用 LiveCD 的典型场景中，步骤如下：

1. 打开终端并获取临时 root shell：
sudo su

2. 使用类似以下命令找到包含 Linux 系统的分区：
fdisk -l

3. 将该分区挂载到工作目录中（例如使用 /dev/sda1):
mkdir /mnt/recover
mount /dev/sda1 /mnt/recover

4. 更改系统根目录为挂载的目录 chroot:
chroot /mnt/recover

5. 从那里开始，使用 passwd root 设置新密码后，注销并重新启动，即可正常登录。

/etc/sudoers 文件以及如何微调 root 权限

根管理中最强大（也最微妙）的方面之一是文件 /etc/sudoers其中定义了谁可以使用 sudo在这里，您可以详细自定义提升权限的访问方式，指定在何处以及执行哪些命令。

非常重要：切勿编辑 /etc/sudoers 直接与任何编辑器联系始终使用：
sudo visudo
因为这个工具 保存前请检查语法。此文件中的错误可能会导致您无法使用 sudo，并且 visudo 你将风险降到最低。

典型内容 /etc/sudoers 一个干净的 Ubuntu 系统包含类似如下的行：:
root ALL=(ALL:ALL) ALL
%sudo ALL=(ALL:ALL) ALL

第一条规定表明，root 用户可以以任何用户和组的身份在任何主机上执行任何命令。第二个命令的作用相同，但适用于组中的所有用户。 sudo这样一来，该群体中的任何人都能通过这种方式获得绝对权力。 sudo.

对于更高级的配置，sudoers 允许您为用户、命令和执行组定义别名，例如：

User_Alias ADMINES = pepe, perico, andres
Cmnd_Alias POWER = /sbin/shutdown, /sbin/halt, /sbin/reboot, /sbin/restart
Runas_Alias WEB = www-data, apache

例如，通过这些定义，您可以授予管理员无需密码即可关闭或重启系统的权限。 例如：
ADMINES ALL = NOPASSWD: POWER

标签如下 NOPASSWD 它们允许您使用 sudo 执行某些命令，而无需输入密码。这在自动化脚本、与其他系统的集成或您是唯一用户的个人电脑中非常有用。

出于好奇，还有一种叫做……的选项 insults 如果你把它添加到这些行中的话。 Defaults每次你输入错误的密码，sudo 都会用英语“侮辱”你。它并不能提高安全性，但至少能让你在工作中露出笑容。

使用 root 权限从终端管理文件和权限

实际上，root 权限的大部分用途都集中在通过终端管理文件和权限上。拥有超级用户权限后，您可以浏览整个文件系统并修改任何所需内容，但务必始终保持高度谨慎。

一些以 root 用户身份运行的基本命令会变得格外敏感，例如：

ls：列出文件和目录。以 root 用户身份，您甚至可以看到其他用户无法列出的文件。

cp y mv要复制和移动文件或目录，请使用 `sudo`。例如，您可以使用 `sudo` 将字体从……移动。 Descargas 拍卖 /usr/share/fonts/ 以便整个系统都能使用它。

rm：删除文件和文件夹。与 -r y -f 如果在未正确检查路径的情况下以 root 用户身份使用它，则极其危险。

chmod y chown这些设置会更改权限和所有权。它们对于授予特定用户文件访问权限至关重要，但滥用可能会导致系统不安全或无法使用。

使用 root 用户安装系统字体的一个典型例子是：

sudo cp ~/Descargas/Underdog.ttf /usr/share/fonts/
sudo chmod 644 /usr/share/fonts/Underdog.ttf

模式 644 这表明所有者（root）可以读写，而组和其他用户只能读取。足以保证字体正常显示，但又不会允许意外更改。

使用 root、sudo 和 su 时的最佳实践

使用超级用户权限进行操作绝非儿戏。如果您理解以下几条准则，就能避免很多麻烦：

尽量减少您作为 root 用户所花费的时间。。 用途 sudo comando 尽可能避免开启持久的root会话。拥有完整权限的时间越短，出错的可能性就越小。

务必避免使用 `sudo` 命令运行来源不明的脚本。如果您从网上下载了一个脚本，而您首先看到的是“使用 `sudo` 运行此脚本”，请用文本编辑器打开它并仔细阅读。如果您不理解它的作用，请不要运行它。

使用测试环境（虚拟机、容器）进行实验。如果您要修改敏感配置、测试激进命令或运行不明确的脚本，请先在可以安全破坏的系统上进行操作。您可以找到有关虚拟机和容器中安全虚拟化的指南。

当有多个管理员时，需要对 sudo 进行精细配置。对于只需要重启服务的用户和需要完全控制的用户来说，情况并不相同。 /etc/sudoers 限制每个人能做的事情。

监控身份验证日志 (/var/log/auth.log o journalctl这样一来，您就可以看到谁在使用 sudo，从哪里使用，以及使用了哪些命令。这是一种检测异常行为或权限滥用的简单方法。

不要以 root 用户身份浏览互联网、打开附件或运行桌面应用程序。如果您以超级用户身份运行图形应用程序时，该应用程序遭到入侵，那么攻击者就得逞了。

简而言之，Linux 中的 root 权限是一个功能极其强大的工具，必须谨慎使用。了解其用途、何时使用 `sudo` 或 `su`、如何恢复或锁定帐户以及如何配置 `sudo`，将使您能够安全自信地管理系统，充分利用 GNU/Linux 的灵活性，而无需每次打开终端都冒着生命危险。