「安全理論上變差了，因?yàn)槊艽a長(zhǎng)度會(huì)暴露給旁觀者，但這點(diǎn)收益遠(yuǎn)不及用戶體驗(yàn)問題。」——sudo-rs維護(hù)者的這句話，正在改寫Linux最頑固的一項(xiàng)傳統(tǒng)。

1980年的安全假設(shè)，2026年終于松動(dòng)

1980年，紐約州立大學(xué)布法羅分校的Bob Coggeshall和Cliff Spencer創(chuàng)造了sudo。那個(gè)年代的終端是共享的物理設(shè)備，屏幕對(duì)所有人敞開，"肩窺"（shoulder surfing）是真實(shí)威脅——有人站在你身后數(shù)按鍵次數(shù)，就能猜出密碼長(zhǎng)度。

沉默，成了最簡(jiǎn)潔的防御。

這個(gè)設(shè)計(jì)在命令行時(shí)代無懈可擊：沒有視覺反饋，攻擊者無法通過按鍵節(jié)奏推斷密碼結(jié)構(gòu)。但它也帶來一個(gè)副作用——無數(shù)新手盯著空白的終端，不確定自己的輸入是否被系統(tǒng)接收。

46年間，這個(gè)默認(rèn)行為從未被主流發(fā)行版撼動(dòng)。直到Ubuntu 26.04 LTS（代號(hào)Resolute Raccoon，2026年4月23日發(fā)布）決定打破沉默。

Linux Mint先探路，Rust重寫提供契機(jī)

變化并非一蹴而就。Linux Mint早已在其sudo配置中默認(rèn)開啟視覺密碼反饋，低調(diào)證明了"天不會(huì)塌"。但Ubuntu這樣的主流發(fā)行版始終按兵不動(dòng)——遷移成本與兼容性風(fēng)險(xiǎn)讓改變停滯。

真正的轉(zhuǎn)折點(diǎn)來自技術(shù)棧的底層替換。

Canonical從Ubuntu 25.10開始，將默認(rèn)sudo實(shí)現(xiàn)從經(jīng)典的C語言版本切換至sudo-rs——一個(gè)用Rust編程語言（Rust）從頭重寫的項(xiàng)目。對(duì)大多數(shù)用戶而言，這次切換幾乎無感：命令名稱、調(diào)用方式完全一致，性能差異在日常使用中難以察覺。

但Rust重寫的意義在于，它解耦了歷史包袱。C語言sudo的沉默行為是46年累積的兼容債務(wù)，任何改動(dòng)都可能觸發(fā)未知的下游依賴。sudo-rs作為新項(xiàng)目，沒有這層約束。

Ubuntu 26.04 beta窗口前約兩周，上游sudo-rs合并了一項(xiàng)補(bǔ)丁：默認(rèn)啟用pwfeedback選項(xiàng)。Canonical迅速將其揀選（cherry-picked）進(jìn)開發(fā)版本。傳統(tǒng)C語言sudo包（部分標(biāo)記為sudo-ws）不受影響，只有sudo-rs路徑呈現(xiàn)星號(hào)反饋。

一場(chǎng)被低估的用戶體驗(yàn)革命

這個(gè)改動(dòng)的技術(shù)細(xì)節(jié)值得拆解。pwfeedback并非簡(jiǎn)單地在每個(gè)按鍵后打印星號(hào)——它涉及終端回顯（echo）控制的重新設(shè)計(jì)，需要在安全性與可用性之間找到新平衡點(diǎn)。

反對(duì)者的論點(diǎn)依然成立：星號(hào)確實(shí)暴露了密碼長(zhǎng)度。一個(gè)12位密碼顯示12個(gè)星號(hào)，攻擊者的信息熵減少了。但在2026年的使用場(chǎng)景中，這個(gè)威脅模型已經(jīng)漂移。

現(xiàn)代開發(fā)者的典型場(chǎng)景是什么？遠(yuǎn)程SSH會(huì)話、個(gè)人筆記本、物理隔離的辦公環(huán)境。"肩窺"從"站在你身后的人"變成"能讀取你屏幕的惡意軟件"——而后者早已擁有鍵盤記錄器，不需要數(shù)星號(hào)。

與此同時(shí)，沉默密碼的成本被系統(tǒng)性低估。Stack Overflow上關(guān)于"sudo密碼不顯示"的新手問題累計(jì)超過數(shù)萬條；企業(yè)內(nèi)部IT支持工單中，"終端卡死"的誤報(bào)相當(dāng)比例源于此。這些摩擦成本從未被量化，但真實(shí)存在。

sudo-rs維護(hù)者的判斷是務(wù)實(shí)的：理論安全收益的"無窮小"（infinitesimal），無法抵消真實(shí)發(fā)生的用戶體驗(yàn)損傷。

Rust重寫背后的維護(hù)者危機(jī)

Ubuntu 26.04的改動(dòng)之所以可能，深層原因是sudo項(xiàng)目的維護(hù)者困境。原C語言sudo由Todd Miller維護(hù)超過30年，但該項(xiàng)目長(zhǎng)期面臨資金枯竭——支撐著數(shù)百萬服務(wù)器的核心工具，其維護(hù)者卻難以獲得可持續(xù)收入。

sudo-rs的出現(xiàn)部分源于此：當(dāng)傳統(tǒng)項(xiàng)目的演進(jìn)速度受制于資源約束，重寫成為另一條路徑。Rust生態(tài)的安全保證（內(nèi)存安全、并發(fā)安全）也為這個(gè)特權(quán)提升工具提供了額外的審計(jì)信心。

這不是孤例。OpenSSL的心臟出血漏洞后，LibreSSL和Rustls相繼出現(xiàn)；核心基礎(chǔ)設(shè)施的"銹化"（Rust化）正在系統(tǒng)性地降低C語言遺留代碼的攻擊面。Ubuntu的選擇，是將這一趨勢(shì)推向終端用戶體驗(yàn)層。

發(fā)行版分化的前兆

需要明確的是，Ubuntu并未強(qiáng)制所有用戶接受星號(hào)反饋。傳統(tǒng)sudo包仍然可用，系統(tǒng)管理員可以通過配置切換。但默認(rèn)值的威力在于：它定義了"正常"是什么。

這一改動(dòng)可能引發(fā)連鎖反應(yīng)。Fedora、Debian、Arch等發(fā)行版將面臨選擇：跟隨Ubuntu調(diào)整默認(rèn)行為，還是堅(jiān)守46年傳統(tǒng)以維護(hù)"純粹性"？企業(yè)Linux發(fā)行版（RHEL、SUSE）的決策更為復(fù)雜——它們需要評(píng)估合規(guī)框架對(duì)密碼輸入可視化的態(tài)度。

更深遠(yuǎn)的影響在于開發(fā)者預(yù)期。新一代Linux用戶將在星號(hào)反饋中成長(zhǎng)，沉默密碼逐漸成為"復(fù)古選項(xiàng)"。當(dāng)用戶基數(shù)發(fā)生代際更替，默認(rèn)值的政治意義將超越技術(shù)討論本身。

Canonical的時(shí)機(jī)選擇也耐人尋味：在LTS（長(zhǎng)期支持）版本引入這一變更，意味著未來五年的企業(yè)部署都將基于新行為。這不是實(shí)驗(yàn)，是承諾。

小改動(dòng)的結(jié)構(gòu)性信號(hào)

回到那個(gè)星號(hào)。它看似微不足道，卻濃縮了開源生態(tài)的深層張力：安全模型的時(shí)代適配、基礎(chǔ)設(shè)施維護(hù)的可持續(xù)性、用戶體驗(yàn)與理論風(fēng)險(xiǎn)的權(quán)衡。

Ubuntu 26.04的決策邏輯可以概括為：當(dāng)威脅模型漂移，而歷史慣性成為主要障礙時(shí)，技術(shù)棧的重寫提供了重新協(xié)商默認(rèn)值的契機(jī)。Rust在這里不僅是實(shí)現(xiàn)語言，是打破路徑依賴的杠桿。

對(duì)于科技從業(yè)者，這個(gè)案例的價(jià)值在于觀察"默認(rèn)的力量"。46年的沉默不是技術(shù)必然，是特定歷史條件下的均衡態(tài)。識(shí)別這些均衡何時(shí)松動(dòng)，比爭(zhēng)論均衡本身更有價(jià)值。

下一次當(dāng)你輸入sudo密碼時(shí)，如果看到星號(hào)跳動(dòng)，記住：那是一個(gè)1980年的設(shè)計(jì)假設(shè)，在2026年被正式退役。而推動(dòng)它的，是一門2010年才出現(xiàn)的編程語言，和一群拒絕接受"歷來如此"的維護(hù)者。

至于那些擔(dān)心密碼長(zhǎng)度暴露的人——好消息是，你的攻擊者大概早就裝了鍵盤記錄器。壞消息是，你的密碼可能還是"password123"。星號(hào)救不了這個(gè)。