sudo -l 显示 nothing 的常见原因是用户实际未归属 sudoers 中配置的组（如漏写%、大小写错误）、规则被上下文屏蔽、空白符导致解析失败，或组成员关系未重新登录生效；需用 id -nG 确认组名、visudo -c 检查语法、查看 auth.log 日志并实际测试命令执行。
sudo -l 显示 nothing 的常见原因
配置了 NOPASSWD 却执行 sudo -l 什么也不显示，大概率是 /etc/sudoers 中的 %group 条目未被当前用户实际所属，或语法有隐性错误。Linux 不会报错提示“组不存在”或“用户不在该组”，而是直接跳过整行规则。
- 用
id -nG确认当前用户所属的**确切组名**（注意大小写、有无空格、是否为系统组如sudo或自定义组如adminstaff） - 检查
sudoers中是否用了%groupname，但实际组名是groupname（漏了%）或写成%Groupname（大小写不匹配） - 确认该行没有被前面的
Defaults或Host_Alias上下文意外屏蔽（比如写在了Host_Alias块内却没匹配当前主机） - 避免在规则末尾加多余空格或制表符——
sudoers解析器对空白敏感，可能造成整行失效
%group NOPASSWD 规则的正确写法
给组授权必须用 %groupname，且必须放在 user_spec 区域（通常在 # User privilege specification 之后），不能嵌套在别名定义块里。
- 正确示例：
%dev ALL=(ALL:ALL) NOPASSWD: /usr/bin/systemctl restart nginx - 错误示例：
dev ALL=(ALL) NOPASSWD: ...（缺%，这是给用户dev授权，不是组） - 错误示例：
%dev ALL=(ALL) NOPASSWD: /bin/sh（允许 shell 交互，但sudo -l默认只列出非 shell 命令，需显式加!requiretty或改用sudo -l -U username查看目标用户视角） - 如果想让组内所有用户都能免密运行任意命令，写成：
%dev ALL=(ALL:ALL) NOPASSWD: ALL；但生产环境强烈不建议这样配
sudo -l 为什么看不到 NOPASSWD 条目
sudo -l 默认只显示**当前用户有权限执行、且未被拒绝（!）覆盖**的命令，并且会过滤掉那些需要密码的条目——即使你写了 NOPASSWD，如果语法不合法或上下文不匹配，它就根本不会被加载进策略树。
- 运行
sudo -l -U $USER（显式指定用户）可排除因Runas_Spec不匹配导致的隐藏 - 用
sudo -D 2 -l启用调试模式，能看到解析过程：是否读到了该行、是否跳过、是否因语法警告而丢弃 -
NOPASSWD必须和命令一起写在同一规则中，不能单独写Defaults:%dev !authenticate—— 这种全局默认在新版 sudo 中已被弃用，且不保证生效 - 确保没有冲突的
Defaults如Defaults targetpw或Defaults authenticate覆盖了你的NOPASSWD
验证与排错的关键步骤
不要依赖 sudo -l 的输出做唯一判断，得结合日志和实际执行测试。
- 先用
sudo visudo -c检查语法，它能发现大多数拼写/缩进错误 - 执行一条你授权过的命令，比如
sudo systemctl is-active nginx，成功即说明规则已生效，sudo -l不显示只是展示逻辑问题 - 查看
/var/log/auth.log（Debian/Ubuntu）或/var/log/secure（RHEL/CentOS），搜索sudo:关键字，看是否有user not in sudoers或matching defaults entries类提示 - 临时把规则改成
%dev ALL=(ALL) ALL（带密码），再跑sudo -l，如果这时能看到了，基本锁定是NOPASSWD相关上下文或语法问题
最常被忽略的是组成员关系未实时生效：用户加入新组后，必须重新登录（或用 newgrp）才能让 sudo 识别到，SSH 会话也不会自动刷新组列表。
