在Linux系统安全实践中，sudo配置文件（/etc/sudoers）的defaults参数是权限控制的核心配置项。本文将深入解析defaults参数的作用机制，并提供具体的安全配置案例。
defaults参数基础概念
defaults参数用于设置sudo命令的默认行为，通过在/etc/sudoers文件中添加如下格式的配置：
defaults variable=value
常见的变量包括：Defaults env_reset、Defaults timestamp_timeout等。
安全配置案例：时间戳超时控制
在实际运维场景中，建议设置合理的timestamp_timeout参数来增强安全性。通过以下配置：
Defaults timestamp_timeout=15
该配置将sudo认证缓存时间限制为15分钟，有效防止长时间未操作后仍可执行高权限命令的风险。
复现步骤：
- 编辑sudoers文件：
sudo visudo - 添加配置行：
Defaults timestamp_timeout=15 - 保存退出并测试：执行
sudo ls /root，等待15分钟后再次执行相同命令 - 观察输出结果：第二次执行将提示重新输入密码
其他重要defaults参数
Defaults env_reset：重置环境变量，防止环境污染攻击Defaults secure_path：指定安全路径，限制PATH变量范围Defaults !tty_tickets：禁用TTY相关票据机制
配置验证方法
通过以下命令验证配置生效：
sudo visudo -c
该命令将检查sudoers文件语法正确性。
在生产环境中，应根据具体业务场景合理设置defaults参数，避免过度宽松或过于严格的配置影响正常运维工作。
讨论