linux有个wheel用户组，这个组的用户可以执行su，所以如果允许某个普通用户su，可以将它加进这个组。
将/etc/pam.d/su文件中的这一行解除注释
auth required pam_wheel.so use_uid
当以log身份登录后，如果执行su, 会报"invalid password"