账户与管理员权限

日常身份

使用普通账户登录，按操作通过 sudo 提权。系统使用 PAM、shadow 和 标准用户/组资料，root 账户与普通账户权限不同。图形设备授权需核对 video 组（GID 44）；wheel 组的 sudo 权限仍要求密码认证。不要覆盖已有账户库来套用示例。 密码不得出现在命令行、环境、串口或调试日志中。

测试镜像账户

独立测试镜像可包含公开夹具账户： test/test （UID/GID 1000， wheel/video 补充组）、 root/root，以及锁定的 nobody。 它们只用于 VMDK/普通镜像的独立测试账户装配，不属于安装器部署后的真实密码。 安装器按用户选择创建账户；公开测试账户不能当作安全部署默认值。

授权边界

能打开应用不代表能修改块设备或系统配置。普通文件访问由内核 DAC 和 描述符模式检查；重读分区表要求 CAP_SYS_ADMIN。Diskmgr 的普通用户窗口只读， 管理员操作需该用户已有 sudo 授权。详见 磁盘管理器（Diskmgr）。

操作权限矩阵

• 普通文件或块设备打开：按当前 UID、主组、补充组及节点模式进行 DAC 检查。

• 已打开描述符读写：继续要求匹配的访问模式；O_PATH 不授予读写能力。

• root 的可写块描述符：允许标准原始写入，不再要求旧桌面角色或安装器标志。

• BLKRRPART：另检查 CAP_SYS_ADMIN；仅有可写 fd 不足以重读分区表。

• Diskmgr 提权：验证调用用户已有的 sudo 授权；错误或取消不改变原窗口身份。

可执行文件的组 ID 不授予窗口服务器或服务身份。旧保留服务组不再由系统镜像创建； 已有文件的属组仍按普通 Linux DAC 语义处理。sudo 的图形提示由普通用户运行的 FLTK 辅助程序提供，密码仅经标准输出管道交给 sudo；控制台 PAM 兼容会话使用 上游 libpam_misc 的终端会话实现。