在linux系统中，nobody是一个特殊的系统用户，通常用于运行不需要特权的服务进程。它并不属于某个具体的人，而是一个被设计为权限极低的账户，用来提升系统安全性。
nobody用户的基本信息
在大多数linux发行版中，nobody用户的uid和gid一般为65534。我们可以通过查看系统的用户文件来确认它的存在和配置。
# 查看nobody用户的条目 grep nobody /etc/passwd # 输出类似：nobody:x:65534:65534:Nobody:/:/usr/sbin/nologin # 查看nobody组的条目 grep nobody /etc/group # 输出类似：nogroup:x:65534:nobody
从上面的输出可以看出，nobody的登录shell通常是/usr/sbin/nologin或/sbin/nologin，这意味着它不能用于交互式登录。
nobody的作用
nobody主要用于以最小权限运行服务。很多网络服务（如早期的部分web服务、ntp等）会以nobody身份启动，这样即便服务被入侵，攻击者得到的也只是一个几乎无权限的用户。
- 降低安全风险：限制进程对系统文件的读写能力
- 隔离服务：避免服务以root运行带来的隐患
- 匿名访问映射：在nfs等场景中，匿名用户常被映射为nobody
nobody的权限特点
nobody对系统绝大多数文件都没有写权限，只能访问全局可读的资源。我们可以用下表概括它的权限特征：
| 项目 | 说明 |
|---|---|
| uid/gid | 通常为65534 |
| 登录权限 | 无，shell为nologin |
| 家目录 | 常为/或无有效目录 |
| 文件权限 | 仅能读全局可读文件，不能改系统配置 |
如何使用nobody运行程序
在编写服务脚本时，可以通过su或runuser切换到nobody来执行命令。下面以shell为例展示切换用户运行进程的方式。
# 以nobody身份执行命令（需要root权限） su -s /bin/sh nobody -c 'whoami' # 在systemd服务中指定用户 # 在.service文件里写： # [Service] # User=nobody # Group=nogroup # ExecStart=/usr/local/bin/myapp
常见问题
nobody能被删除吗
不建议删除nobody，因为很多系统服务和共享机制依赖这个用户。删除可能导致服务异常或权限错误。
nobody和root有什么区别
root拥有系统全部权限，而nobody几乎没有任何特权。将服务从root改为nobody是常见的安全加固手段。
总结
linux中的nobody是一个低权限的系统用户，用来运行不需要特权的服务，从而减少安全风险。理解它的定义、权限和用法，有助于我们更安全地进行服务部署和系统维护。