Linux临时切换用户身份：深入理解`su`命令

在Linux系统管理中，临时切换用户身份是一项核心操作。无论是进行系统维护、访问受限资源还是测试多用户环境，su（Substitute User）命令都是管理员工具箱中的必备工具。与永久注销并重新登录不同，su允许您在当前会话中临时切换身份，完成任务后可轻松返回原始用户。本指南将深入解析su的细节、最佳实践和实际应用场景。

目录#

命令语法与选项#

基本语法：

su [选项] [用户名]

常用选项：

选项等效长选项作用描述
---login模拟登录环境（加载目标用户的配置文件）
-c--command以目标用户身份执行单条命令后退出
-s--shell指定要使用的Shell（如/bin/bash）
-m--preserve-environment保留当前环境变量（不加载新配置）

注意：未指定用户名时默认切换到root用户。

基本用法示例#

切换到root用户#

# 切换到root（非登录Shell）
$ su
Password:  # 输入root密码
 
# 切换到root（登录Shell，推荐方式）
$ su - 
Password:  # 输入root密码


图：使用su -切换时Shell提示符的变化

切换到其他用户#

# 切换到用户john（非登录Shell）
$ su john
 
# 切换到用户john（登录Shell）
$ su - john
 
# 切换到用户并指定Shell
$ su -s /bin/zsh john

实践提示：系统用户（如www-data）通常无有效Shell，需用-s指定：

su -s /bin/bash www-data

环境变量的重要性#

不加-选项可能导致严重的环境不一致问题：

# 错误示范（缺少-）
$ su
# PATH可能仍包含普通用户路径
# which nginx
/usr/local/bin/nginx   # 普通用户安装版本
 
# 正确做法
$ su -
# which nginx
/usr/sbin/nginx        # 系统路径版本

环境差异对比表：

项目su（无-）su -（有-）
执行脚本~/.bashrc~/.bash_profile等完整登录流程
当前目录保持不变切换到目标用户HOME目录
PATH变量继承原用户重置为目标用户的默认PATH
用户配置文件加载部分加载完全加载

执行单条命令#

无需进入交互式Shell即可完成任务：

# 以root身份创建目录
su -c "mkdir /backup" root
 
# 以mysql用户检查服务状态
su -s /bin/bash -c "systemctl status mysql" mysql

自动化场景：在脚本中配合su -c实现权限提升：

#!/bin/bash
LOG_FILE="/var/log/app-setup.log"
su -c "apt install -y nginx && systemctl start nginx" root >> $LOG_FILE

su与sudo对比#

特性susudo
身份验证目标用户密码当前用户密码
日志记录无详细命令日志完整记录每条命令（通过/var/log/auth.log）
权限控制全权或无权限支持细粒度授权（sudoers文件）
适用场景需要长时间保持切换身份时临时执行特权命令

最佳实践与安全注意事项#

  1. 避免长期使用root
    用su -c替代su -交互操作，降低误操作风险。

  2. 禁用root远程登录
    在/etc/ssh/sshd_config中设置：

    PermitRootLogin no

  3. 限制su使用权限
    仅允许wheel组用户使用su（CentOS/RHEL）：

    # 解除/etc/pam.d/su中以下行注释
auth required pam_wheel.so use_uid

    将用户加入wheel组：

    usermod -aG wheel your_username

  4. 密码策略强化
    定期更新密码：

    chage -M 90 root  # 强制root每90天改密

常见问题解决#

1. 认证失败#

su: Authentication failure

原因：

  • 密码错误（root密码而非当前用户密码）
  • 用户被锁定（检查passwd -S root）

2. 用户不在sudoers文件中#

su: user jane is not allowed to execute '/bin/bash' as root

解决方案：
需通过visudo添加权限：

# 允许jane用户执行所有命令
jane ALL=(ALL) ALL

3. 目标用户无有效Shell#

This account is currently not available.

解决：
修改用户配置：

usermod -s /bin/bash www-data

结论#

su作为Linux身份切换的核心工具，在理解其环境变量机制（-选项）的前提下能极大提升管理效率。然而在生产环境中，建议优先使用sudo实现最小权限原则。牢记两大黄金法则：1）始终用su -保证环境一致；2）操作完成立即退出特权会话，将帮助您构建更安全的系统管理流程。

参考资源#

  1. Linux man-pages: su(1)
  2. Ubuntu Wiki: Sudoers
  3. Red Hat: Managing root Access
  4. Linux Foundation: Security Best Practices

原创声明：本文采用知识共享署名4.0协议，允许任何人在注明出处的前提下自由转载。

2026-01