• 主体（Subject） — 发起访问操作的进程，通常以用户身份运行
• 客体（Object） — 被访问的资源，如文件、目录、设备等
• 所有者（Owner） — 创建文件的用户，拥有对该文件的最高控制权
• 所属组（Group） — 文件关联的用户组，组内成员共享组权限
• 其他用户（Others） — 既不是所有者也不属于所属组的用户

每个权限位对应一个二进制权重值，三个权限位组成一个八进制数：

# 场景 1：目录只有 r 权限，没有 x 权限
$ ls -ld /tmp/testdir
d-r-------- 2 alice alice 4096 Aug 1 10:00 /tmp/testdir

$ ls /tmp/testdir        # 可以列出文件名
file1.txt  file2.txt
$ cat /tmp/testdir/file1.txt  # 但无法访问文件内容
cat: /tmp/testdir/file1.txt: Permission denied

# 场景 2：目录有 x 权限但没有 r 权限
$ ls -ld /tmp/testdir
d--x------ 2 alice alice 4096 Aug 1 10:00 /tmp/testdir

$ ls /tmp/testdir         # 无法列出内容
ls: cannot open directory '/tmp/testdir': Permission denied
$ cat /tmp/testdir/file1.txt  # 但如果知道文件名，可以访问
Hello World

1. 检查 UID（用户 ID）是否匹配文件所有者？
   ├─ 是 → 使用 owner 权限判定，检查结束
   ── 否 → 进入下一步

2. 检查进程的有效 GID 或附加组是否匹配文件所属组？
   ├─ 是 → 使用 group 权限判定，检查结束
   ── 否 → 进入下一步

3. 使用 other 权限判定

$ ls -l script.sh
-rwxr----- 1 root develop 1024 Aug 1 10:00 script.sh

# 用户 alice 是 root？不是。alice 属于 develop 组？是。
# 结果：使用 group 权限 r--，alice 只能读取，不能执行。

$ whoami
alice
$ groups
alice develop

$ ./script.sh
bash: ./script.sh: Permission denied  # group 没有 x 权限

chmod [选项] 模式 文件...

# 八进制模式
chmod 755 script.sh       # rwxr-xr-x
chmod 644 config.conf     # rw-r--r--
chmod 600 private.key     # rw-------
chmod 777 public/          # rwxrwxrwx（不推荐）

# 符号模式
chmod u+x script.sh       # 给所有者增加执行权限
chmod g-w config.conf     # 移除所属组的写入权限
chmod o=r private.key     # 设置其他用户权限为只读
chmod u=rwx,g=rx,o=rx app # 显式设置所有权限
chmod a+x *.sh            # 给所有用户（ugo）增加执行权限

# 正确做法：分别设置目录和文件的权限
find /var/www/project -type d -exec chmod 755 {} \;
find /var/www/project -type f -exec chmod 644 {} \;

# 错误做法：统一设置 755，会赋予文件可执行权限
chmod -R 755 /var/www/project  # 不推荐

# 语法
chown [选项] 所有者[:组] 文件...

# 仅修改所有者
chown alice report.txt

# 同时修改所有者和所属组
chown alice:develop report.txt

# 仅修改所属组（等价于 chgrp）
chown :develop report.txt

# 递归修改目录及其内部所有文件
chown -R alice:develop /home/alice/project

# 参考另一个文件的所有者设置
chown --reference=ref.txt target.txt

# 仅当当前所有者匹配时才修改
chown --from=root alice report.txt

# 语法
chgrp [选项] 组名 文件...

# 修改所属组
chgrp develop report.txt

# 递归修改
chgrp -R www-data /var/www/html

# 使用参考文件
chgrp --reference=ref.txt target.txt

# 部署 Web 应用时的典型权限设置
sudo chown -R root:www-data /var/www/myapp
sudo find /var/www/myapp -type d -exec chmod 755 {} \;
sudo find /var/www/myapp -type f -exec chmod 644 {} \;
sudo chmod -R g+w /var/www/myapp/uploads  # 让 www-data 组可写上传目录

作用： 当可执行文件设置了 SUID 位后，任何用户运行该文件时， 进程的有效用户 ID 会临时切换为文件所有者的 UID，从而获得文件所有者的权限。

# 典型示例：/usr/bin/passwd
$ ls -l /usr/bin/passwd
-rwsr-xr-x 1 root root 63736 Mar 22 2024 /usr/bin/passwd
                                 ^
                            # 注意这里的 s，表示 SUID 已设置

# 设置 SUID
chmod u+s /usr/bin/myapp      # 符号模式
chmod 4755 /usr/bin/myapp     # 八进制模式（4 为 SUID）

# 查看 SUID 文件
find /usr/bin -perm -4000 -ls  # 列出所有设置了 SUID 的可执行文件

对文件： 用户运行该文件时，进程的有效组 ID 切换为文件所属组。 对目录： 在该目录下创建的新文件会自动继承目录的所属组，而非创建者的默认组。 这是团队协作中最常用的特殊权限。

# 对文件设置 SGID
chmod g+s /usr/bin/myapp      # 符号模式
chmod 2555 /usr/bin/myapp     # 八进制模式（2 为 SGID）

# 对目录设置 SGID（团队协作场景）
sudo mkdir -p /project/team
sudo chgrp developers /project/team
sudo chmod g+ws /project/team  # s 表示 SGID
$ ls -ld /project/team
drwxrws--- 2 root developers 4096 Aug 1 10:00 /project/team
         ^
    # 注意这里的 s，表示 SGID 已设置

# 验证：团队成员创建的文件自动继承 developers 组
$ whoami
bob
$ touch /project/team/readme.md
$ ls -l /project/team/readme.md
-rw-r--r-- 1 bob developers 0 Aug 1 10:00 readme.md
                    ^^^^^^^^^
             # 自动继承目录的所属组，而非 bob 的默认组

作用： 设置了 SBIT 的目录中，即使其他用户对该目录有 w 权限， 也只有文件的所有者（或 root）才能删除或重命名自己的文件。 最典型的应用是 /tmp 目录。

# 典型示例：/tmp 目录
$ ls -ld /tmp
drwxrwxrwt 20 root root 4096 Aug 1 12:00 /tmp
            ^
       # 注意这里的 t，表示 Sticky Bit 已设置

# 设置 SBIT
chmod o+t /shared/temp       # 符号模式
chmod 1777 /shared/temp      # 八进制模式（1 为 SBIT）

# 验证 SBIT 效果
$ ls -ld /shared/temp
drwxrwxrwt 2 root root 4096 Aug 1 12:00 /shared/temp

# 用户 alice 创建的文件，bob 无法删除（即使目录是 777）
$ su alice -c "touch /shared/temp/alice.txt"
$ rm /shared/temp/alice.txt   # bob 操作
rm: remove write-protected regular empty file '/shared/temp/alice.txt'? y
rm: cannot remove '/shared/temp/alice.txt': Operation not permitted

# 查看 ACL
getfacl report.txt

# 为特定用户设置权限
setfacl -m u:alice:rwx report.txt   # 给 alice 设置 rwx 权限
setfacl -m u:bob:rx report.txt      # 给 bob 设置 r-x 权限

# 为特定组设置权限
setfacl -m g:developers:rw report.txt

# 移除特定用户的 ACL 条目
setfacl -x u:alice report.txt

# 移除所有 ACL 条目（恢复到传统权限）
setfacl -b report.txt

ACL 掩码（mask）定义了所有命名用户、命名组和所属组的最大有效权限。 它是 ACL 中最重要的概念之一，经常被误解。

# 查看 ACL 掩码
$ getfacl report.txt
# file: report.txt
# owner: alice
# group: alice
user::rw-
user:bob:rwx          # effective: r--
group::r--
mask::r--
other::r--

# 解释：虽然 bob 的 ACL 条目有 rwx，但 mask 为 r--，
# 所以 bob 的实际有效权限是 r--（mask 与 ACL 权限的交集）。

# 手动设置 mask
setfacl -m m:rx report.txt          # 设置 mask 为 r-x
setfacl -m u:bob:rwx,group:dev:rw report.txt  # 同时设置多条 ACL 和 mask

默认 ACL 只对目录有效。一旦设置，目录中新建的文件和子目录会自动继承默认 ACL 设置。

# 为目录设置默认 ACL
setfacl -m d:u:alice:rwx /project/team
setfacl -m d:g:developers:rwx /project/team
setfacl -m d:o:--- /project/team

# 查看默认 ACL
$ getfacl /project/team
# file: /project/team
# owner: root
# group: root
user::rwx
group::r-x
other::---
default:user::rwx
default:user:alice:rwx
default:group::r-x
default:group:developers:rwx
default:mask::rwx
default:other::---

# 验证：新建文件自动继承默认 ACL
$ touch /project/team/newfile.txt
$ getfacl /project/team/newfile.txt
# file: /project/team/newfile.txt
# owner: root
# group: root
user::rw-
user:alice:rwx          # effective: rw-
group::r-x              # effective: r--
group:developers:rwx    # effective: rw-
mask::rw-
other::---

# 场景：Web 服务器部署目录权限配置
# 要求：
# - root 拥有完全控制权
# - www-data 组可以读写执行
# - developer 用户 alice 有完全控制权
# - 其他用户不可访问

sudo mkdir -p /var/www/myapp
sudo chown root:www-data /var/www/myapp
sudo chmod 770 /var/www/myapp

sudo setfacl -m u:alice:rwx /var/www/myapp
sudo setfacl -m d:u:alice:rwx /var/www/myapp
sudo setfacl -m d:g:www-data:rwx /var/www/myapp
sudo setfacl -m d:o:--- /var/www/myapp

# 验证
$ getfacl /var/www/myapp
# file: /var/www/myapp
# owner: root
# group: www-data
user::rwx
user:alice:rwx
group::rwx
mask::rwx
other::---
default:user::rwx
default:user:alice:rwx
default:group::rwx
default:mask::rwx
default:other::---

# chattr 语法
chattr [选项] [+-=][属性] 文件...

# lsattr 语法
lsattr [选项] 文件...

# 设置文件为不可变（Immutable）
sudo chattr +i /etc/passwd
sudo chattr +i /etc/shadow
sudo chattr +i /etc/sudoers

# 查看文件属性
$ lsattr /etc/passwd
----i-------- /etc/passwd    # i 属性已设置

# 尝试修改（即使 root 也会失败）
$ sudo rm /etc/passwd
rm: cannot remove '/etc/passwd': Operation not permitted

# 移除不可变属性
sudo chattr -i /etc/passwd

# 设置日志文件为仅追加模式
sudo chattr +a /var/log/auth.log
sudo chattr +a /var/log/syslog

# 递归查看目录属性
lsattr -Ra /etc 2>/dev/null | head -20

# 递归设置目录属性（-R 选项）
sudo chattr -R +i /etc/ssl/private  # 保护整个私钥目录

文件属性是在权限之上的第二层防护。即使文件权限设置为 777， 如果设置了 i（不可变）属性，任何人都无法修改或删除该文件。 反之，权限可以正常控制读/写/执行，但受属性约束的操作会被拒绝。

# 权限与属性的层级关系
# 第一层：权限（rwx）— 控制谁可以读/写/执行
# 第二层：属性（i/a 等）— 控制能做什么操作
# 第三层：MAC（SELinux）— 系统级强制策略

# 示例：文件有 777 权限，但设置了 i 属性
$ ls -l secret.txt
-rwxrwxrwx 1 root root 1024 Aug 1 10:00 secret.txt

$ sudo chattr +i secret.txt

$ echo "test" >> secret.txt       # 即使有 w 权限，也无法写入
-bash: secret.txt: Operation not permitted

$ sudo rm secret.txt              # 即使是 root 也无法删除
rm: cannot remove 'secret.txt': Operation not permitted

$ cat secret.txt                  # 读取不受影响
Hello World

# /etc/sudoers 基本语法
# 用户/组  主机名=(可切换用户:可切换组)  命令列表

root    ALL=(ALL:ALL) ALL                # root 可以执行任何命令
%admin  ALL=(ALL) ALL                    # admin 组可以执行任何命令
alice   ALL=(ALL) ALL                    # alice 可以执行任何命令

# 允许 bob 以 root 身份运行特定命令，无需密码
bob     ALL=(root) NOPASSWD: /usr/bin/systemctl, /usr/bin/apt

# 允许 develop 组以 www-data 身份运行特定命令
%develop ALL=(www-data) /usr/bin/git, /usr/bin/make

# 限制命令参数
carol   ALL=(root) /usr/bin/passwd [A-Za-z]*, !/usr/bin/passwd root

sudoers 支持四种别名，用于简化大规模配置：

# User_Alias — 用户别名
User_Alias ADMINS = alice, bob, carol
User_Alias DEV_TEAM = dave, eve, %developers  # 可以包含组

# Runas_Alias — 可切换用户别名
Runas_Alias DB_USERS = oracle, postgres, mysql

# Host_Alias — 主机别名
Host_Alias WEB_SERVERS = web1, web2, web3
Host_Alias DB_SERVERS = db1, db2

# Cmnd_Alias — 命令别名
Cmnd_Alias SERVICES = /usr/bin/systemctl, /usr/sbin/service
Cmnd_Alias PACKAGES = /usr/bin/apt, /usr/bin/dpkg, /usr/sbin/apt-get
Cmnd_Alias SHUTDOWN = /usr/sbin/shutdown, /usr/sbin/reboot, /usr/sbin/halt

# 使用别名配置
ADMINS    ALL=(ALL) ALL
DEV_TEAM  WEB_SERVERS=(DB_USERS) SERVICES, PACKAGES
DEV_TEAM  ALL=(root) /usr/bin/git, /usr/bin/make

# /etc/sudoers.d/secure-config — 最佳实践配置

# 定义用户组
User_Alias SYSADMINS = alice, bob
User_Alias DEVELOPERS = carol, dave, eve
User_Alias OPERATORS = frank, grace

# 定义命令组
Cmnd_Alias SYSTEM_CTL = /usr/bin/systemctl *, /usr/sbin/service *
Cmnd_Alias PACKAGE_MGMT = /usr/bin/apt *, /usr/sbin/apt-get *
Cmnd_Alias LOG_VIEW = /usr/bin/journalctl *, /bin/cat /var/log/*
Cmnd_Alias USER_ADMIN = /usr/sbin/useradd, /usr/sbin/usermod, /usr/sbin/userdel
Cmnd_Alias NETWORK = /usr/sbin/ip, /usr/sbin/ss, /bin/ping, /usr/sbin/sshd -T

# 系统管理员 — 完全权限
SYSADMINS ALL=(ALL) ALL

# 开发者 — 服务管理和日志查看（需要密码）
DEVELOPERS ALL=(root) SYSTEM_CTL, LOG_VIEW
DEVELOPERS ALL=(www-data) /usr/bin/git, /usr/bin/make

# 运维人员 — 服务管理、网络诊断（无需密码）
OPERATORS ALL=(root) NOPASSWD: SYSTEM_CTL, NETWORK, LOG_VIEW

# 默认安全设置
Defaults        env_reset              # 重置环境变量
Defaults        mail_badpass           # 密码错误时发送邮件
Defaults        passwd_tries=3         # 最大密码尝试次数
Defaults        logfile=/var/log/sudo.log  # 启用 sudo 日志
Defaults        log_input, log_output  # 记录输入输出（高安全环境）
Defaults        timestamp_timeout=5    # 密码缓存超时（分钟）

# 以 root 身份执行命令
sudo systemctl restart nginx

# 以其他用户身份执行命令
sudo -u www-data whoami

# 切换到 root 用户（需要 sudo 权限）
sudo -i                      # 登录式 shell，加载 root 的环境变量
sudo -s                      # 非登录式 shell

# 查看当前用户的 sudo 权限
sudo -l

# 以特定用户身份执行命令
sudo -u postgres psql -c "SELECT version();"

# 编辑文件（以 root 身份）
sudo -e /etc/nginx/nginx.conf

每个用户和进程只应被授予完成其任务所必需的最小权限集。这是安全设计的核心原则。

# 错误：给予过多权限
chmod -R 777 /var/www/html           # 任何用户都可以修改

# 正确：按需分配最小权限
chown -R root:www-data /var/www/html
find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;
chmod 775 /var/www/html/uploads       # 仅上传目录需要写权限
chmod 750 /var/www/html/includes      # 敏感目录限制访问

# 保护认证文件
sudo chmod 644 /etc/passwd           # 所有人可读，仅 root 可写
sudo chmod 600 /etc/shadow           # 仅 root 可读写
sudo chmod 600 /etc/gshadow          # 仅 root 可读写
sudo chmod 644 /etc/group            # 所有人可读，仅 root 可写

# 保护 SSH 配置
sudo chmod 600 /etc/ssh/sshd_config  # 仅 root 可读写
sudo chmod 600 ~/.ssh/id_rsa         # 私钥仅所有者可读写
sudo chmod 644 ~/.ssh/id_rsa.pub     # 公钥可以公开
sudo chmod 700 ~/.ssh                # .ssh 目录仅所有者可访问

# 使用 chattr 增强保护
sudo chattr +i /etc/passwd /etc/shadow /etc/sudoers

# 典型的 Web 部署权限
PROJECT=/var/www/myapp

sudo chown -R deploy:www-data $PROJECT
sudo find $PROJECT -type d -exec chmod 755 {} \;
sudo find $PROJECT -type f -exec chmod 644 {} \;

# 上传目录需要写权限
sudo chmod 775 $PROJECT/uploads
sudo chown -R www-data:www-data $PROJECT/uploads

# 配置文件要限制访问
sudo chmod 640 $PROJECT/.env
sudo chmod 640 $PROJECT/config/database.php

# 缓存和日志目录需要运行时写入
sudo chmod 775 $PROJECT/var/cache
sudo chmod 775 $PROJECT/var/log
sudo chown -R www-data:www-data $PROJECT/var

# 查找所有 SUID/SGID 文件（定期审计）
find / -type f \( -perm -4000 -o -perm -2000 \) -ls 2>/dev/null \
  > /var/log/suid_audit_$(date +%Y%m%d).log

# 查找没有所有者的文件（orphan 文件）
find / -nouser -o -nogroup -ls 2>/dev/null

# 查找全局可写的文件
find / -type f -perm -0002 -ls 2>/dev/null

# 查找全局可写的目录（没有 sticky bit）
find / -type d -perm -0002 ! -perm -1000 -ls 2>/dev/null

# 审计 sudo 使用情况
sudo grep -i "sudo" /var/log/auth.log | tail -50
sudo journalctl -u sudo --since "7 days ago"

Linux 权限管理是一个从底层到上层的多层次体系：