5.Linux 文件权限管理

基本概念#

在 Linux 中，每一个文件和目录都有访问控制策略，通过“用户 + 组 + 其他人”三重维度定义谁能读、写或执行。

权限表示方式#

有两种常见表示法：符号法（字母） 和 数字法（八进制）

1
7 5 5
2
│ │ └── others: r-x (5)
3
│ └───── group: r-x (5)
4
└─────── user: rwx (7)

权限对应关系（数值法）#

✅ 最常用权限组合：

权限管理命令#

1
chmod 644 config.conf
2
chmod 755 backup.sh
3
chmod -R 755 myproject/   # 递归赋权

1
chmod u+x script.sh        # 用户增加执行权
2
chmod g-w data.txt         # 组减少写权限
3
chmod o=r file.log         # 其他人设为只读
4
chmod a+r notes.txt        # all 用户都加读权限

文件所有者与所属组#

1
ls -l filename

1
# 修改所有者
2
sudo chown bob file.txt
3

4
# 修改所有者和组
5
sudo chown alice:developers project/
6

7
# 仅修改组
8
sudo chgrp admins backup.tar
9

10
# 递归更改整个目录树
11
sudo chown -R www-data:www-data /var/www/html/

默认权限与 umask#

新创建的文件/目录会根据 umask（掩码）自动设定初始权限。

1
umask
2
# 输出例如：0022

1
umask 0077
2
touch private.txt
3
# 新建文件权限变为 600

特殊权限：SUID、SGID、Sticky Bit#

这些是超出普通 rwx 的高级权限，用第四位数字表示（如 4755）。

1
ls -l /usr/bin/passwd
2
# 输出包含：
3
# -rwsr-xr-x 1 root root ...
4
#     ↑               ← s 表示设置了 SUID

1
chmod u+s backup_tool.sh
2
# 或
3
chmod 4755 backup_tool.sh

1
mkdir /shared/project
2
chgrp developers /shared/project
3
chmod 2775 /shared/project   # SGID + rwxrwxr-x

1
chmod +t /tmp
2
# 或
3
chmod 1777 /tmp

访问控制列表 ACL（扩展权限）#

当标准“用户+组+其他”不够用时，可使用 ACL 实现更细粒度控制。

1
getfacl secret.txt
2
setfacl -m u:bob:r secret.txt
3
getfacl secret.txt

1
user:bob:r--

1
setfacl -m g:interns:rwX /projects/doc/

1
setfacl -x u:bob secret.txt

1
setfacl -b secret.txt

常见问题解答#

❓ Q：为什么我不能进入某个目录，明明有 r 权限？ ✅ A：缺少 x 权限。对目录来说，x 是能否 cd 或访问其内部的关键。

❓ Q：为什么删除文件不需要对该文件有写权限？ ✅ A：删除是由父目录的写权限决定的。只要对目录有 w+x，就可以删除里面的文件。

❓ Q：如何让新建文件自动属于某个组？ ✅ A：结合 SGID + 组目录：

1
sudo chgrp devs shared_dir
2
sudo chmod 2775 shared_dir   # SGID + 可读写执行

之后该目录下的所有新文件都会继承 devs 组。

❓ Q：ACL 和普通权限哪个优先级高？ ✅ A：ACL 是对传统权限的补充，它提供了更多入口。系统按照如下顺序判断权限：

1. 如果是文件所有者 → 使用 owner 权限
2. 如果匹配某条 ACL 规则 → 使用该规则
3. 否则按 group/others 判断

❓ Q：怎样查看哪些文件设置了 SUID？ ✅ A：

1
find /usr/bin -perm -4000 -type f 2>/dev/null

📌 实用场景示例#

1
sudo mkdir /project/shared
2
sudo chgrp devteam /project/shared
3
sudo chmod 2775 /project/shared    # SGID + 可读写执行
4
# 所有人在此创建的文件自动归 devteam 组

1
sudo touch /var/log/app.log
2
sudo chown root:syslog /var/log/app.log
3
sudo chmod 640 /var/log/app.log
4
# syslog 组成员可读，其他人无权访问

1
# 只允许审计员 audited 读取敏感配置
2
sudo setfacl -m u:auditor:r /etc/secrets.conf
3
getfacl /etc/secrets.conf

1
sudo chown -R www-data:www-data /var/www/html/
2
# 但保留脚本可执行性
3
find /var/www/html -type f -exec chmod 644 {} \;
4
find /var/www/html -type d -exec chmod 755 {} \;

1
sudo chmod +t /var/www/uploads/
2
# 等价于：
3
sudo chmod 1777 /var/www/uploads/

📘 学习建议#

1. ✅ 先理解再动手

   • 多用 ls -l 观察不同权限的表现。
   • 在虚拟机或 Docker 环境中实验 SUID/ACL。

2. 🔐 最小权限原则

   • 不要轻易赋予 777 或过度使用 SUID。
   • 高风险操作尽量用 ACL 替代放宽整体权限。

3. 🧰 善用工具辅助检查

   • 使用 stat filename 查看详细权限信息
   • 编写脚本定期扫描异常权限（如世界可写的配置文件）

4. 🤖 自动化权限设置

   • 将常用权限配置写成 Shell 脚本或 Ansible Playbook

5. 📚 延伸阅读

   • man chmod, man acl, man capabilities
   • SELinux / AppArmor：更高级的安全模块（企业级）