spec: ensure "user" cannot su