sudo

以 root 权限执行单条命令，是 macOS 上管理特权操作的标准入口。

补充说明

macOS 默认禁用 root 账户，管理员通过 admin 组和 sudo 提权。首次使用输入当前用户密码，默认在同一终端缓存约 5 分钟；sudo -k 立即失效，sudo -v 续期。sudo -l 查看当前用户被允许的命令，sudo -i 打开 root 登录 shell，sudo -u 用户 命令 切换身份执行。

边界：sudo 只提升 Unix 权限，不绕过 TCC 和 SIP。终端没有“完全磁盘访问”“屏幕录制”等授权时，sudo 一样失败；受 SIP 保护的系统文件即使 root 也不能改。修改 /etc/sudoers 必须用 sudo visudo，语法错误会让所有提权入口失效。

常用示例

# 1. 先续期，避免长脚本执行到一半才提示输密码
% sudo -v

# 2. 查看当前用户被授予了哪些命令
% sudo -l

# 3. 以其他用户身份执行；_www 是系统内置的 Web 用户
% sudo -u _www id -un

# 4. 脚本里非交互执行，凭证未缓存时立即失败而不是卡住
% sudo -n /usr/bin/true; echo $?

# 5. 修改 sudoers 前后都做语法检查
% sudo visudo -c

# 6. 立即清掉当前终端的 sudo 缓存
% sudo -k

# 7. 用 -- 结束选项解析，避免命令参数被 sudo 误读
% sudo -- /bin/ls -la /var/root

易错点与排错

• 直接编辑 /etc/sudoers 写错一行，可能导致无人能提权；始终 sudo visudo，并用 visudo -c 验证，保留 Recovery 或其他管理员账户作为退路。
• sudo 凭证按终端缓存，新开窗口或脚本环境通常要重新输入；不要在脚本里硬编码密码或用 echo 密码 | sudo -S，密码会进历史、进程参数或日志。
• 以为 sudo 能解决权限拒绝：访问受 TCC 保护的目录（桌面、文档、邮件、其他 App 数据）需要给终端“完全磁盘访问”，不是 root 权限问题。
• sudo 默认重置环境变量，PATH、PYTHONPATH、代理变量可能不同；脚本里用绝对路径，必须保留时显式用 sudo -E 并确认安全。
• sudo -i 进入 root 登录 shell，sudo -s 只开一个 root shell，两者加载的配置不同；排查环境差异时先确认当前 shell 和 PATH。
• macOS 14 起可把 pam_tid.so 配到 /etc/pam.d/sudo_local 启用 Touch ID，但系统更新可能覆盖 /etc/pam.d/sudo，改 sudo_local 更稳。

相关命令

• dscl — 查看管理员组成员和用户属性。
• security — 钥匙串与签名身份，常和提权脚本一起用。
• Linux sudo — 对照 Linux 的 sudoers 和缓存策略。
• Linux 权限速查 — 复习用户、组与文件权限。
• Windows whoami — 对照身份查询。

参考链接

• Apple Support: Terminal 使用手册
• Apple Platform Security
• sudo 官方手册

读完自测

合上页面，先回答，再展开对照。

1. sudo 的凭证缓存按什么范围生效？为什么新终端又要输密码？
2. 为什么 sudo 不能解决“终端无法访问桌面文件”的问题？
3. 修改 sudoers 的安全流程是什么？写错后可能有什么后果？