给同事开 sudo 别直接给 ALL。按命令粒度授权，出事时影响面可控。

操作步骤

# /etc/sudoers.d/deploy
deploy ALL=(www-data) NOPASSWD: /usr/bin/systemctl reload nginx
# 只给 reload nginx，不给 ALL

要点速览

  • sudoers 里写具体命令路径，而非 NOPASSWD: ALL。
  • 以 www-data 身份执行，比用 root 更收敛。
  • 用 visudo 编辑，语法错会拦下，避免把自己锁死。
sudo 授权越具体，事故半径越小。