NixOS禁用sudo配置作用及bash禁用方法与影响咨询

security.sudo.enable = false的实际效果 #

这个配置不是仅禁用sudo功能，是直接将sudo从系统环境中完全移除。
NixOS的enable类选项逻辑非常直接：设置为false时，sudo软件包不会被纳入系统的依赖闭包，对应的setuid权限配置、PAM认证规则、相关服务文件全不会生成，配置生效后在终端敲sudo会直接返回「命令不存在」的错误，不存在二进制文件保留、只是锁死功能的情况。你可以生效配置后执行which sudo自行验证。

移除/禁用bash的可行性与影响 #

可行操作方式 #

bash是可以被从全局环境中移除的，但分两种场景对应不同操作，风险差异极大：

• 如果只是不想把bash作为默认交互shell，完全不需要全局删除bash，直接修改全局默认shell配置即可，操作无风险：

  # 全局默认shell设为zsh，可替换为fish、nushell等你偏好的shell
  users.defaultUserShell = pkgs.zsh;
  # 针对单独创建的用户也可以单独指定shell
  users.users.<你的用户名>.shell = pkgs.zsh;
  

• 如果确实要把bash从全局PATH中清除，需要强制覆盖NixOS默认预装的基础包列表，操作风险很高：

  # 强制清空默认预装的基础包集合（默认包含bash、基础coreutils等工具）
  environment.defaultPackages = lib.mkForce [];
  environment.systemPackages = with pkgs; [
    # 手动添加你需要的所有核心工具，不要引入bash即可
    coreutils
    zsh
    # ......其余你需要的软件包
  ];
  

  注意就算做了这个配置，bash也不会从硬盘上彻底消失：Nix本身的构建逻辑、NixOS部分系统模块的运行时硬依赖bash，对应的bash包依然会存在于/nix/store路径下，只是不会被链接到全局可执行路径里供用户直接调用。

禁用bash的实际影响 #

全局移除bash一定会对依赖bash的程序造成影响，具体影响范围分两类：

• 未经Nix正规打包的程序/脚本：包括你手动下载的第三方闭源软件、自己写的运维脚本、外部拷贝来的工具，只要代码里硬编码调用bash，或者shebang写的是#!/bin/bash/#!/usr/bin/env bash，全都会因为找不到解释器直接运行失败。这类场景占日常使用的比例不低，很容易出现意料之外的报错。
• 通过Nix渠道正规打包的程序：不受全局移除bash的影响，因为Nix在打包时会给每个程序声明独立的依赖闭包，程序依赖的bash会被放到该程序专属的运行搜索路径下，不依赖全局环境的bash。

除非你能100%确认自己所有用到的软件都不依赖全局环境的bash，否则非常不建议全局移除bash——bash本身占用空间极小，留着不会影响你使用其他shell作为交互入口，删掉反而会踩很多无意义的坑。

内容的提问来源于stack exchange，提问作者whatever