在 Linux 系统运维中，su 、su - 、sudo 、sudo -i 是最常用的提权与用户切换命令，很多使用者容易混淆其权限、环境、密码验证和使用场景。本文将系统性梳理四者的核心差异、运行机制及生产环境最佳选型，彻底理清普通用户与 root 权限的切换逻辑。
一、核心概念铺垫
Linux 系统默认以普通用户登录操作，日常指令权限有限，修改系统配置、安装软件、操作系统目录等高危操作，需要 root 超级管理员权限。上述四个命令的核心作用均为获取 root 权限，但实现方式、安全级别、环境加载规则完全不同，也是企业运维区分新手与规范操作的关键。
简单区分核心逻辑：su 系列是切换用户身份，sudo 系列是临时授权提权。
二、四大命令详细解析
1. sudo （普通提权，单条命令）
核心定义 ：临时借用 root 权限执行单条指令，仅瞬时提权，不切换用户会话。
运行特点：
-
权限时效：仅对当前输入的一条命令生效，命令执行完毕立即退回普通用户权限
-
环境变量：完全保留原普通用户的环境变量、工作目录、用户配置，不会加载 root 配置
-
密码验证：输入当前普通用户的密码，且系统会短时缓存密码，短时间内重复使用无需反复验证
-
适用场景：日常简单的单条高危操作，如安装软件、修改单个系统文件
示例：sudo apt install nginx
2. sudo -i（登录式 root 会话）
核心定义 ：模拟完整的 root 登录流程，切换为交互式 root 会话 ，等同于安全版的 su -。
运行特点：
-
权限时效：输入一次密码后，整个终端会话全程为 root 权限，直至执行
exit退出 -
环境变量：彻底清空普通用户环境，完整加载 root 登录环境，包括 root 的 profile、bashrc、系统 PATH
-
工作目录：自动切换到 root 家目录
/root -
密码验证：仅验证当前普通用户密码，全程不使用、不泄露 root 密码
-
前提条件：当前普通用户必须被写入
sudoers授权文件，拥有 sudo 权限
适用场景：需要连续执行多条 root 权限操作、长期配置系统参数的场景，是生产环境主流用法。
3. su（普通用户切换，不推荐）
核心定义：临时切换为 root 用户，仅变更用户身份，不初始化登录环境。
运行特点：
-
环境保留：不加载 root 系统环境，保留普通用户的工作目录、环境变量，属于"不完整的 root 身份"
-
密码验证：必须输入root 原生密码
-
缺陷：环境变量不纯净，容易出现权限错乱、命令调用异常，几乎不使用
4. su -（完整 root 登录）
核心定义：标准的 root 登录切换，完整模拟 root 账号登录系统的效果。
运行特点：
-
环境纯净：完全加载 root 专属登录环境、配置文件，自动切换至
/root目录，是正统的 root 会话 -
密码验证：必须输入root 原生密码
-
权限完整：UID、GID 完全切换为 root，权限与直接登录 root 账号无区别
核心缺陷：需要知晓并使用 root 密码，极易造成密码泄露，存在极大安全风险。
三、核心命令横向对比（关键区别）
为方便快速查阅与记忆，现将四个命令的核心特性汇总对比，清晰区分各项关键差异：
| 命令 | 所需密码 | 环境变量 | 工作目录 | 权限模式 | 适用场景 | 安全级别 |
|---|---|---|---|---|---|---|
| sudo | 当前用户密码 | 保留普通用户环境 | 当前目录不变 | 单条命令临时提权 | 日常零散单条高危操作 | 最高（最小权限） |
| sudo -i | 当前用户密码 | 完整加载root登录环境 | 自动切换至 /root | 全程root交互式会话 | 连续多条系统运维操作 | 高（不泄露root密码） |
| su | root原生密码 | 保留普通用户环境 | 当前目录不变 | 切换root身份，环境不纯净 | 几乎不使用，兼容老旧场景 | 低（泄露root密码） |
| su - | root原生密码 | 完整加载root登录环境 | 自动切换至 /root | 完整root登录会话 | 仅本地应急使用，生产禁用 | 极低（共享root密码） |
- su - vs sudo -i（最易混淆的一对）
两者最终效果几乎一致：都是完整 root 登录环境、root 权限、切换至 /root 目录。唯一核心区别是密码与安全机制：
-
su -：依赖 root 密码，多人运维需共享 root 密码，安全性极低，生产环境禁用
-
sudo -i：依赖个人普通用户密码，无需泄露 root 密码，可通过 sudoers 精细化管控权限、记录操作日志，安全性拉满
- sudo vs sudo -i
-
sudo：单条命令临时提权，保留用户环境，轻量化、安全，适合零散操作
-
sudo -i：全程 root 会话，重置系统环境，适合批量运维操作
- su - vs sudo -i（最易混淆的一对）
两者最终效果几乎一致：都是完整 root 登录环境、root 权限、切换至 /root 目录。唯一核心区别是密码与安全机制：
-
su -：依赖 root 密码，多人运维需共享 root 密码，安全性极低，生产环境禁用
-
sudo -i：依赖个人普通用户密码，无需泄露 root 密码，可通过 sudoers 精细化管控权限、记录操作日志，安全性拉满
- sudo vs sudo -i
-
sudo：单条命令临时提权，保留用户环境，轻量化、安全，适合零散操作
-
sudo -i：全程 root 会话，重置系统环境，适合批量运维操作
四、生产环境最佳选型规范
-
日常单条高危操作 ：优先使用
sudo 命令，最小权限原则，用完即退，风险最低 -
批量系统配置、连续运维 ：使用
sudo -i，高效且不暴露 root 密码 -
彻底禁用 ：
su（环境不纯净）、su -（密码泄露风险） -
服务器标准安全配置：关闭 root 远程登录、禁用 root 密码登录，所有运维均通过普通用户 + sudo 权限操作
五、补充收尾知识点
所有切换的 root 会话，均可通过 exit 命令退出，退回原本的普通用户会话；另外还有 sudo -s 命令，其作用是切换 root shell，但保留普通用户环境和工作目录，介于 sudo 和 sudo -i 之间，日常使用频率极低。
六、最终总结
四者的本质差异可一句话概括：su 系列是用 root 密码换权限，老旧不安全；sudo 系列是用个人用户密码授权提权，规范安全。单条操作用 sudo，批量运维用 sudo -i，彻底摒弃 su、su -，是 Linux 运维的核心规范。
