如何以指定用户运行 cron 任务？
以指定用户运行 cron 的两种方法：系统级 /etc/crontab 的用户名列，与 crontab -u 编辑某用户专属 crontab；附权限、环境变量差异与安全建议、FAQ。
两种方法：① 编辑系统级 /etc/crontab，在时间字段和命令之间多写一个用户名列；② 用 crontab -u 用户名 -e 直接编辑该用户的专属 crontab（需要 root）。 日常更推荐后者——任务归任务的所有者管理，权限边界清晰。
方法一：系统 crontab（/etc/crontab）
系统级 crontab 的格式比用户 crontab 多一列用户名：
# m h dom mon dow user command
0 3 * * * backup /opt/scripts/backup.sh
*/5 * * * * appuser /srv/app/bin/collect.sh
- 这一列指定以谁的身份执行命令。
/etc/cron.d/目录下的文件同样使用这种带用户名列的格式。- 修改后直接生效（cron 每分钟重读），无需重启服务。
方法二：用户专属 crontab
每个用户有自己的 crontab（存在 /var/spool/cron/ 下），格式不带用户名列——因为整个文件就属于那个用户：
# 以 root 身份编辑指定用户的 crontab
sudo crontab -u appuser -e
0 3 * * * /home/appuser/jobs/nightly.sh >> /home/appuser/jobs/nightly.log 2>&1
普通用户不带 -u 直接 crontab -e 就是编辑自己的。
两种方法怎么选
| 场景 | 推荐 |
|---|---|
| 系统级维护任务，集中在少数文件里管理 | /etc/crontab 或 /etc/cron.d/ |
| 应用自己的定时任务，跟随应用账户 | crontab -u（或该用户自己 crontab -e） |
| 配置管理工具（Ansible 等）下发 | 一般用 cron 模块写用户 crontab |
注意事项
- 环境变量不同：cron 任务只有极简环境（
HOME、LOGNAME、有限的PATH），脚本里写绝对路径，或在 crontab 顶部显式声明PATH。 - 权限隔离是目的：专门建一个低权限用户跑 cron 是好实践——脚本被利用时攻击面最小。
- 输出要有落点：cron 默认把输出寄本地邮件；没有 MTA 时会丢。重定向到日志文件更可靠。
观测云对照
按用户拆分的定时任务多了之后，"谁的脚本昨晚没跑"会变成日常疑问。把各任务输出重定向到统一日志目录并用 DataKit 采集到观测云，按任务名做字段切分后，用"心跳式"思路配监控器：到了计划时间没有产生对应日志就告警——比逐个机器登录查 /var/log/cron 高效得多。
常见问题（FAQ）
Q：crontab -u 报 "must be privileged"？
A：-u 操作别人的 crontab 需要 root。普通用户只能编辑自己的。
Q：用户被禁登（nologin）还能跑 cron 吗？
A：可以。cron 不经过登录 shell，只要账户存在且未被 /etc/cron.deny 排除即可。
Q：任务以 root 跑了但写文件权限被拒？
A：多半不是 cron 的问题，而是 SELinux 或挂载选项限制。先看 /var/log/cron 与 audit.log，再确认目标目录的属主与上下文。
