Linux中su命令如何使用？切换用户权限与注意事项有哪些？

Linux中的su命令是“switch user”（切换用户）的缩写，主要用于在当前登录会话中切换到其他用户身份，尤其是从普通用户切换到超级用户（root）或切换到其他普通用户，该命令是Linux系统管理中最基础也是最常用的工具之一，掌握其正确用法对系统安全和操作效率至关重要，下面将从基本语法、常用选项、使用场景、注意事项等方面详细解析su命令的使用方法。

su命令的基本语法

su命令的基本语法结构为：
su [选项] [用户名] [参数]

选项用于控制切换行为，用户名指定要切换的目标用户（若不指定，默认切换到root用户），参数则是传递给目标用户shell的额外参数（如命令）。su -l username -c "command"表示以登录模式切换到username用户，并执行指定命令后退出。

su命令的常用选项及说明

为了更灵活地控制用户切换行为,su命令提供了多个选项，以下是常用选项的详细说明（可通过man su查看完整选项列表）：

选项	全称	说明	示例
或 `-l`	`--login`	模拟目标用户的登录shell，切换后会完全加载目标用户的环境变量（如`.bash_profile`、`.profile`等），相当于“重新登录”	`su -l root`（切换到root并加载其环境）
`-c` 或 `--command`	`--command`	执行指定命令后立即退出，不进入目标用户的交互式shell	`su -l user -c "ls /home/user"`（以user身份执行ls命令）
`-m` 或 `-p`	`--preserve-environment`	保留当前用户的环境变量，不加载目标用户的环境	`su -m user`（切换到user但保留当前环境变量）
`-s`	`--shell`	指定目标用户的shell程序（默认为`/bin/bash`或目标用户配置的shell）	`su -s /bin/sh root`（以sh shell切换到root）
`-f`	`--fast`	在目标shell启动时不读取启动文件（如`.bashrc`），仅适用于csh/tcsh等shell	`su -f username`（切换到username并跳过csh启动文件）
（短横线）	同`-l`，表示登录模式，是`su - username`的简写	`su - username`（简写形式，等同于`su -l username`）

su命令的常见使用场景

从普通用户切换到root用户

这是su命令最经典的应用场景,当普通用户需要执行管理员权限的命令时，可通过su切换到root身份。

示例1：直接切换到root（不加载root环境变量）
```
su root
```
执行后会提示输入root用户的密码,验证成功后切换到root，但当前工作目录、环境变量（如$PATH）仍保持为原普通用户的配置。
示例2：以登录模式切换到root（推荐）
```
su - root
# 或简写为
su -
```
加载或-l选项后，会完全模拟root用户的登录环境，包括切换到root的家目录（/root）、加载root的.bash_profile等配置文件，环境变量也会重置为root的默认值（如$PATH包含/usr/local/sbin:/usr/local/bin等），这种方式更安全，避免因环境变量残留导致权限问题。

从普通用户切换到其他普通用户

管理员或普通用户之间也可以通过su切换身份,例如调试其他用户的配置或执行特定任务。

示例：切换到testuser用户并加载其环境
```
su - testuser
```
执行后需要输入testuser用户的密码，切换成功后，当前用户身份变为testuser，工作目录切换到/home/testuser，环境变量也会加载testuser的配置（如.bashrc）。

临时执行其他用户的命令（不切换会话）

若仅需以其他用户身份执行单条命令（如查看某个用户的文件），可通过-c选项实现，执行后自动返回原用户身份。

示例：以root身份查看/etc/shadow文件
```
su - root -c "cat /etc/shadow"
```
系统会提示输入root密码,验证成功后执行cat /etc/shadow命令，输出结果后自动退出root身份，返回原用户。

切换到指定shell

目标用户的默认shell通常由/etc/passwd文件配置，但可通过-s选项临时指定其他shell。

示例：以/bin/sh shell切换到root用户
```
su -s /bin/sh root
```
即使root的默认shell是/bin/bash，本次切换也会使用/bin/sh，适用于轻量级操作或兼容性场景。

su命令的安全注意事项

谨慎使用root身份

root用户拥有系统的最高权限,误操作可能导致系统崩溃或数据丢失，建议：

尽量减少直接使用su -切换到root的频率，优先使用sudo（通过当前用户权限执行命令，无需暴露root密码）。
确保root密码足够复杂,并定期更换。

避免环境变量污染

不使用-l或选项切换用户时，当前用户的环境变量会保留在目标用户的shell中，可能导致权限问题（普通用户的$PATH包含当前目录，切换到root后意外执行恶意脚本）。
正确做法：切换用户时始终使用-l或选项，确保环境变量干净。

限制su命令的使用权限

为增强安全性,可通过配置/etc/login.defs或/etc/group文件限制普通用户使用su命令，仅允许wheel组的用户切换到root：

编辑/etc/pam.d/su文件，取消注释以下行：
```
auth        required      pam_wheel.so use_uid
```
将需要授权的用户加入wheel组：
```
usermod -aG wheel username
```
完成后,只有wheel组的用户可通过su -切换到root，其他用户会提示“Permission denied”。

日志审计

su命令的操作会记录在系统日志中,可通过/var/log/secure（CentOS/RHEL）或/var/log/auth.log（Ubuntu/Debian）查看登录记录，查看su命令的日志：

grep "su:" /var/log/secure

定期审计日志可及时发现异常切换行为。

su与sudo的区别

初学者常混淆su和sudo，二者的核心区别如下：

su：需要知道目标用户的密码（如切换到root需输入root密码），完全切换到目标用户身份，后续操作均在该用户权限下进行。
sudo：需要知道当前用户的密码（需在sudoers文件中配置权限），临时以目标用户权限执行单条命令，执行后返回原用户身份，且可设置超时时间（默认5分钟）。

推荐场景：日常管理优先使用sudo，减少root密码泄露风险；需长期以目标用户身份操作时，使用su。

Linux中su命令如何使用？切换用户权限与注意事项有哪些？

su命令的基本语法

su命令的常用选项及说明