1. Linux权限体系概览
1.1 文件权限模型
Linux的文件权限模型核心在于对每个对象的访问控制，分为三类主体：所有者、所属组和其他用户。每个主体对一个对象都拥有一个三位的权限集合，通常以 r、w、x 表示读取、写入和执行权限。通过查看文件或目录的权限位，可以快速判断哪些操作是允许的。
在实际使用中，最常见的查看方式是 ls -l，它会显示出类似 -rwxr-xr-- 的字段，分别对应所有者、所属组和其他用户的权限。了解这些权限是进行后续修改与排错的基础。
ls -l /path/to/file
1.2 用户、组与其他用户
用户账户、组以及附加的组成员共同决定了谁可以访问某个文件。系统通过 /etc/passwd 和 /etc/group 来维护用户与组的信息，而文件的属主和所属组则在创建时确定。对于一个文件，除了所有者之外，所属组也会影响权限判断，因此合理的组管理是提高安全性的关键环节。
如果一个文件对某些用户需要共享访问，将其加入对应的组并赋予组权限是一种常见且可控的做法。还可以通过 ACL（访问控制列表）来实现对个别用户的精细授权，而不仅仅依赖于三段式权限。
2. 重要权限位与含义
2.1 rwx 位的含义
r、w、x分别代表读取、写入和执行权限。数字模式通常用三位八进制来表示，例如 755 表示所有者拥有 rwx，组和其他用户拥有 r-x 的权限组合。理解这三组权限的搭配，是快速配置权限的基础。
除了日常的读写执行，某些场景还会涉及 执行位在目录中的作用，例如拥有 x 权限的用户可以进入目录并在该目录下执行操作。对脚本和程序的执行权限尤为重要，确保只有可信的程序具有执行权限能有效降低风险。
2.2 setuid、setgid 与黏贴位（sticky bit）
setuid和setgid位会在程序运行时提升或改变进程的有效用户/组身份，常用于需要临时提升权限的场景，如 passwd 等常用工具。谨慎使用，错误配置可能带来安全漏洞。
Sticky bit（黏贴位）常用于公共目录，如 /tmp，确保仅拥有目录或文件的拥有者能够删除或重命名其中的内容。对共享环境的保护尤为重要。
chmod u+s /path/to/program # 设置 setuid
chmod g+s /path/to/directory # 设置 setgid
chmod +t /tmp # 设置 sticky 位
3. 使用 chmod 改变权限
3.1 数字模式与符号模式
数字模式利用三位八进制数来设定三类主体的权限，便于一次性修改完整权限。常见组合包括 755、644、700 等。极简、高效，但可读性稍差。
符号模式通过符号表示法来修改权限，直观地体现对哪些主体添加或移除哪些权限。对于日常维护而言，符号模式更易读、可控。
chmod 755 /path/to/dir
chmod u=rwx,g=rx,o=r /path/to/file
3.2 递归修改与常见陷阱
在需要对目录及其下所有文件进行权限调整时，使用 递归选项 -R 可以一次性完成，但要谨慎，以免误改导致系统无法访问关键目录。
在执行高风险操作前，先备份关键路径的当前权限状态，必要时逐级测试，以降低不可预期的影响。
chmod -R 755 /path/to/dir
chmod -R u+rwX,g+rwX,o+rwX /path/to/dir
4. 使用 chown 与 chgrp
4.1 改变所有者和所属组
chown可用于修改文件或目录的所有者与所属组，常用于迁移文件所有权、回滚权限或实现按职责分配。正确的所有者权限关系是系统安全性的关键。
在多用户环境中，管理员往往通过 chown 将特定资源的控制权交给负责人员或服务账户，从而实现最小权限原则。
chown user:group /path/to/file
4.2 递归修改与常见用法
与 chmod 类似，chown -R 提供对目录及其子目录的递归控制。执行前应确保目标范围清晰，避免误改。
chown -R www-data:www-data /var/www/html
5. 访问控制列表（ACL）与高级权限
5.1 基本 ACL
ACL为每个文件提供更细粒度的权限控制，超越了传统三段式权限。通过 getfacl 可以查看当前对象的 ACL，setfacl 用于设置未来的 ACL。
ACL 适合需要对特定用户或组赋予额外权限的场景，例如允许某个团队成员读写访问某个目录，同时保持其他人为原有权限。
getfacl /path/to/dir
setfacl -m u:alice:rw- /path/to/dir
5.2 设置默认 ACL
默认 ACL 作用于新创建在该目录下的文件和子目录，确保新内容继承一致的访问策略。默认 ACL是实现一致权限的重要工具。
通过设置 default ACL 可以帮助管理员在大量目录结构中保持权限规范。
setfacl -dm u:alice:rw- /path/to/dir
5.3 查看与排错 ACL
当传统权限看似正确但访问仍异常时，ACL往往是原因。通过 getfacl 和 setfacl 可以快速定位与修复权限冲突。
getfacl /path/to/dir
setfacl -m u:alice:r-- /path/to/dir
6. umask、默认权限与新建文件
6.1 umask 原理
umask决定新建文件与目录的默认权限屏蔽位。通常与系统和用户的安全策略相关联，用于在创建对象时自动剔除不希望暴露的权限。
例如，umask 022 会使新文件默认权限为 644，新目录为 755，实现基本的公开可读但写权限受限策略。
umask 022
6.2 系统级与用户级 umask 设置
系统级 umask 通常在全局初始化脚本或登录配置中设定，例如 /etc/profile、/etc/bash.bashrc，以及各个服务的启动脚本。用户级 umask 可以放在 ~/.bashrc、~/.profile 等文件中，以便个人账户生效。
合理的 umask 设置有助于在多人协作环境中保持一致的默认权限，降低误操作带来的风险。
7. SELinux 与 AppArmor 的影响
7.1 SELinux 基本概念
SELinux是一种强制访问控制（MAC）机制，通过策略和上下文对进程与资源进行深度控制。仅仅通过 rwx 位并不足以保障安全时，SELinux 能提供更细粒度的访问约束。
在生产环境中，了解当前模式（Enforcing、Permissive、Disabled）和当前上下文是关键排错步骤。命令 sestatus 可以快速查看状态信息。
sestatus
ls -Z /path/to/file
7.2 AppArmor 与其他机制
AppArmor是另一种常见的强制访问控制框架，通过为应用程序加载不同的安全配置来限制其行为。了解其基本原理有助于在遇到权限相关的应用级阻塞时进行策略排错。
对于使用容器化或安全敏感环境的系统，综合考虑ACL、SELinux、AppArmor以及传统的权限位，可以形成更稳健的访问控制体系。
8. 实战场景与排错技巧
8.1 常见权限问题排查
遇到“访问被拒绝”的情况时，首要步骤是检查对象的 目录权限、文件权限和 ACL 是否一致。通过逐层查看，可以快速定位路径上的权限跃迁点。
排错时建议按步骤确认：先看目录的权限，再看文件的权限，最后检查ACL与上下文。必要时以临时提升权限用户来测试是否为权限链导致的问题。
ls -ld /path/to/dir
ls -l /path/to/dir/file
getfacl /path/to/dir/file
8.2 实战演练：权限修复流程
在多人协作的工作目录中，若权限混乱，建议先锁定目标路径，然后统一使用一个明确的策略来修复：确保所有者、所属组与权限位符合实际工作需求，再逐步引入 ACL 以处理个别例外。
修复时务必保留可回滚的记录，例如记录当前权限快照，并在应用变更前进行备份，确保在必要时可以快速恢复。
# 恢复常见的工作目录权限
chown -R root:staff /var/project
chmod -R 750 /var/project
# 如需个别文件对特定用户开放
setfacl -m u:alice:rw- /var/project/docs/readme.md
