Linux 权限管理深度解析：从基础到最佳实践

目录#

1. 核心概念：用户、组与所有权

   • 1.1 用户 (User)
   • 1.2 组 (Group)
   • 1.3 文件所有权
   • 1.4 相关命令 (id, whoami)

2. 基础文件权限：UGO 模型

   • 2.1 权限类型：读 (r)、写 (w)、执行 (x)
   • 2.2 权限位：用户 (u)、组 (g)、其他 (o)
   • 2.3 查看权限：ls -l 详解
   • 2.4 修改权限：chmod 命令（数字与符号法）
   • 2.5 修改所有权：chown 和 chgrp 命令

3. 高级权限机制

   • 3.1 默认权限与 umask
   • 3.2 特殊权限位
     • 3.2.1 SetUID (s)
     • 3.2.2 SetGID (s)
     • 3.2.3 粘滞位 (Sticky Bit, t)
   • 3.3 访问控制列表 (ACL)

4. 常见场景与最佳实践

   • 4.1 场景一：共享目录（项目协作）
   • 4.2 场景二：脚本执行与 SetUID 陷阱
   • 4.3 最佳实践总结

5. 总结

6. 参考

1. 核心概念：用户、组与所有权#

在深入权限细节之前，必须理解三个核心实体：用户、组和所有权。

1.1 用户 (User)#

Linux 系统上的每个进程和文件都归属于一个特定的用户。用户是权限分配的基本单位。

• root 用户：超级管理员，拥有系统上的最高权限，UID 为 0。
• 系统用户：通常用于运行系统服务，UID 一般为 1-999（取决于发行版）。
• 普通用户：供真人登录使用，UID 通常从 1000 开始。

1.2 组 (Group)#

组是用户的集合。将用户加入同一个组，可以方便地批量授予该组用户对某个资源的相同访问权限。一个用户可以属于一个主组和多个附加组。

1.3 文件所有权#

每个文件和目录都有两个关键属性：

• 所有者 (Owner)：创建该文件的用户。
• 所属组 (Group)：文件所属的组。

1.4 相关命令#

• id：查看当前用户的 UID、GID 和所属组列表。
• whoami：查看当前登录的用户名。

示例：

$ whoami
alice
 
$ id
uid=1001(alice) gid=1001(alice) groups=1001(alice),1003(developers)

此输出表明当前用户是 alice，她的主组是 alice，同时她还是 developers 组的成员。

2. 基础文件权限：UGO 模型#

Linux 使用经典的 UGO (User, Group, Other) 模型来定义基础权限。

2.1 权限类型#

对于文件和目录，读 (r)、写 (w)、执行 (x) 权限的含义不同：

2.2 权限位与 ls -l 详解#

使用 ls -l 命令可以查看详细的权限和所有权信息。

$ ls -l /home/alice/example.txt
-rwxr-xr-- 1 alice developers 2048 Jun  1 10:30 example.txt

我们来解析输出第一段 -rwxr-xr--：

• 第一个字符：文件类型 (- 表示普通文件，d 表示目录，l 表示软链接等)。
• 接下来三组 (每组三个字符)：
  • 用户 (u)：第 2-4 位 rwx，表示文件所有者 alice 拥有读、写、执行权限。
  • 组 (g)：第 5-7 位 r-x，表示文件所属组 developers 的成员拥有读和执行权限，但没有写权限。
  • 其他 (o)：第 8-10 位 r--，表示其他任何用户只有读权限。

后面的 alice developers 分别指明了所有者和所属组。

2.3 修改权限：chmod 命令#

chmod 用于改变文件或目录的权限。有两种设置方法：符号法和数字法。

符号法 (ugo +/- rwx)#

语法：chmod [ugoa][+-=][rwx] file

• u：用户，g：组，o：其他，a：所有（等同于 ugo）。
• +：添加权限，-：移除权限，=：设置精确权限。

示例：

# 为所有用户添加执行权限
$ chmod a+x script.sh
 
# 移除所属组和其他用户的写权限
$ chmod go-w secret_file.txt
 
# 为所属组设置精确权限为“读和执行”
$ chmod g=rx document.pdf

数字法 (八进制)#

将每组权限 (rwx) 视为一个二进制数（有权限为1，无权限为0），然后转换为八进制数字。

• rwx = 4 (r) + 2 (w) + 1 (x) = 7
• r-x = 4 + 0 + 1 = 5
• r-- = 4 + 0 + 0 = 4

语法：chmod ABC file，其中 A 是用户权限，B 是组权限，C 是其他权限。

示例：

# 设置权限为 rwxr-xr-- (751)
# 用户: rwx = 4+2+1 = 7
# 组: r-x = 4+0+1 = 5
# 其他: r-- = 4+0+0 = 4
$ chmod 754 myapp
 
# 常见的权限设置
$ chmod 644 file.txt  # 所有者可读写，其他人只读 (rw-r--r--)
$ chmod 755 script.sh # 所有者可读写执行，其他人只读执行 (rwxr-xr-x)
$ chmod 700 .ssh/     # 仅所有者有全部权限，其他用户无任何权限 (rwx------)

2.4 修改所有权：chown 和 chgrp#

• chown：改变文件的所有者和/或所属组。

  # 改变所有者
  $ chown bob file.txt
   
  # 同时改变所有者和所属组
  $ chown bob:admin file.txt
   
  # 只改变所属组（与 chgrp 效果相同）
  $ chown :admin file.txt
   
  # 递归改变目录及其内容的所有权
  $ chown -R alice:developers /project/

• chgrp：专门用于改变文件的所属组。

  $ chgrp developers file.txt

注意： 通常只有 root 用户才能改变文件的所有者。

3. 高级权限机制#

3.1 默认权限与 umask#

当创建一个新文件或目录时，系统会赋予它一个“默认权限”。这个默认权限由 umask 值决定。umask 是一个掩码，它指定了需要从默认权限中移除的权限。

• 文件的默认最大权限：666 (rw-rw-rw-)
• 目录的默认最大权限：777 (rwxrwxrwx)

查看当前 umask：

$ umask
0022

计算默认权限：

• 文件：666 - 022 = 644 (rw-r--r--)
• 目录：777 - 022 = 755 (rwxr-xr-x)

设置 umask：

$ umask 027  # 设置为 027，新文件权限为 640，新目录权限为 750

3.2 特殊权限位#

除了基本的 rwx，还有三个特殊的权限位。

3.2.1 SetUID (s)#

当设置在可执行文件上时，无论执行者是谁，该文件都会以文件所有者的权限运行。典型的例子是 passwd 命令，它需要修改 /etc/shadow（普通用户无权限），因此设置了 SetUID 为 root。

设置：

# 符号法
$ chmod u+s /usr/bin/my_special_program
# 数字法（在普通权限前加4）
$ chmod 4755 /usr/bin/my_special_program

注意： 滥用 SetUID 非常危险，因为它会提升权限。

3.2.2 SetGID (s)#

有两种情况：

1. 对可执行文件：与 SetUID 类似，但以文件所属组的权限运行。
2. 对目录：在该目录下创建的新文件，其所属组会自动继承目录的所属组，而不是创建者的主组。这对于协作目录极其有用。

设置：

# 设置在目录上
$ chmod g+s /shared_directory/
# 数字法（在普通权限前加2）
$ chmod 2775 /shared_directory/

3.2.3 粘滞位 (Sticky Bit, t)#

设置在目录上。只有文件的所有者、目录的所有者或 root 用户才能删除或重命名该目录下的文件。常见于世界可写目录，如 /tmp。

设置：

# 设置在目录上
$ chmod +t /tmp
# 数字法（在普通权限前加1）
$ chmod 1777 /tmp

在 ls -l 中，粘滞位显示在 others 的 x 位置（例如 /tmp 的权限是 drwxrwxrwt）。

3.3 访问控制列表 (ACL)#

UGO 模型虽然简单，但不够精细。ACL 提供了更细粒度的权限控制，允许你为特定的用户或组设置权限。

查看 ACL： getfacl 设置 ACL： setfacl

示例：

# 允许用户 david 对文件有读写权限
$ setfacl -m u:david:rw report.doc
 
# 允许组 contractors 对目录有读和执行权限
$ setfacl -m g:contractors:rx /project/blueprint/
 
# 递归删除目录及其内容的所有 ACL 条目
$ setfacl -R -b /project/

4. 常见场景与最佳实践#

4.1 场景一：共享目录（项目协作）#

目标：让 developers 组的成员都能在 /srv/project_alpha 目录下自由创建、修改和删除文件。

步骤：

1. 创建目录并设置所属组：

   $ sudo mkdir -p /srv/project_alpha
   $ sudo chown root:developers /srv/project_alpha

2. 设置权限：使用 SetGID 确保新文件继承目录的组，并为组赋予写权限。

   $ sudo chmod 2775 /srv/project_alpha  # rwxrwsr-x

   现在，任何 developers 组成员创建的文件，其所属组都是 developers，其他组成员可以直接编辑，避免了权限冲突。

4.2 场景二：脚本执行与 SetUID 陷阱#

需求：一个需要读取特殊配置文件的脚本。

错误做法：

$ chmod 4755 my_script.sh  # 给脚本设置 SetUID

原因：大多数 Linux 系统会忽略脚本文件的 SetUID 位，这是出于安全考虑。脚本语言解释器（如 Bash、Python）本身才是可执行文件。

正确做法：

1. 如果需要提升权限，应使用 C/C++ 等编译型语言编写一个小工具，并对其设置 SetUID。
2. 更安全的方式是使用 sudo，配置 /etc/sudoers 文件，允许特定用户以所需权限运行特定命令。

4.3 最佳实践总结#

1. 遵循最小权限原则：只授予完成工作所必需的最小权限。
2. 慎用 chmod 777：这是懒惰且危险的做法，意味着对所有人完全开放。应始终寻找更精确的权限设置。
3. 警惕 SetUID/SetGID：定期检查系统中有哪些文件设置了这些位 (find / -perm -4000 2>/dev/null)，并确保它们是可信的。
4. 使用组进行权限管理：相比于修改“其他用户”的权限，将用户添加到合适的组是更安全、更清晰的方式。
5. 家目录权限：确保用户家目录权限为 700 (drwx------)，防止其他用户窥探。
6. 对于系统文件和目录：除非你非常清楚后果，否则不要轻易修改其默认的所有权和权限。

5. 总结#

Linux 权限管理是一个层次分明、功能强大的系统。从基础的 UGO 模型到高级的 ACL，它提供了从粗放到精细的各种控制手段。掌握这些知识，不仅能帮助你安全地管理系统，还能高效地实现多用户环境下的协作。记住，权限管理的核心是平衡便利性与安全性，而最佳实践则是你在这两者之间找到最优解的有力工具。

6. 参考#

• Linux Man Pages：最权威的文档来源。随时查阅 man chmod, man chown, man umask, man acl, man sudoers。
• Filesystem Hierarchy Standard (FHS)：了解 Linux 系统目录的标准结构和建议权限。
• Linux 发行版官方文档：如 Ubuntu Server Guide, Red Hat Enterprise Linux Documentation。
• 书籍：《鸟哥的 Linux 私房菜 - 基础学习篇》是一本非常好的入门读物，对权限有详细讲解。