一、Linux权限模型与基础概览
1.1 用户、组与其他用户的权限结构
在Linux系统中，权限模型的核心是拥有者、所属组以及其他用户，它们分别对应三组独立的权限位。通过rwx三种字符组合，系统能表达“读取、写入和执行”的能力。理解这三组权限对后续的ACL配置至关重要，因为ACL是在传统三组权限之上进行细粒度扩展的基础。掌握这一点，您就能认识到最基本的访问控制单位就是这三组权限的组合与覆盖范围。
拥有者权限决定了文件拥有者对文件的直接控制权；组权限适用于与文件同组的其他用户；其他用户权限则覆盖未包含在前两者中的所有人。通过命令ls -l可以快速查看三组权限以及文件所有者和所属组的信息，是分析ACL前的重要前置步骤。
# 查看目录权限及所有者信息
ls -ld /var/www/html
# 输出示例：drwxr-xr-x 3 owner group 4096 Jun 1 12:00 /var/www/html
1.2 典型权限位的含义与组合
rwx分别代表读取、写入和执行三种权限，若某一位被“-”替代，则相应权限缺失。对目录而言，执行权限同样意味着能进入该目录并访问其中的内容。把三组权限进行组合，便形成了对文件或目录的三层访问控制：owner, group, other。
在实操中，umask影响新建文件的默认权限位，chmod用于临时调整现有权限。理解这两者的关系，能帮助你在没有ACL时实现可控的授权策略。
# 设置目录的访问权限为 750
chmod 750 /var/www/html
# 解释：拥有者 rwx，组拥有 r-x，其他人无权限
二、ACL 的基础与意义
2.1 ACL 的概念与传统权限的差异
ACL（Access Control List）是一种可自定义的访问控制列表，允许为单独用户或用户组赋予特定权限，从而突破传统的三组权限的固定边界。ACL 提供了细粒度的访问控制，可以在同一文件或目录上对不同的主体设定不同的权限组合。
与传统权限相比，ACL可以实现诸如“用户alice 具有 rwx、用户bob 仅具有 r、某些服务账户拥有特定的执行权”等场景。对多用户协同的系统而言，这种灵活性极大提升，同时也带来管理复杂度的提升。
# 查看文件的 ACL 信息（需要文件系统支持 ACL）
getfacl /var/www/html
2.2 常见的 ACL 术语与类型
ACL 条目（ACE）：对某个主体（用户或组）设定的权限记录。默认 ACL（default ACL）：当为目录创建默认 ACL 时，目录中新创建的子文件/子目录会继承这些 ACL。
通过理解ACL 的继承与覆盖规则，可以设计出更加稳定的授权边界，避免“默认权限传播导致的越权现象”。
# 设置默认 ACL，确保新建文件继承权限
setfacl -dm u:alice:rwx /var/www/html
三、在 Linux 中启用与查看 ACL
3.1 文件系统对 ACL 的支持与挂载选项
要使用 ACL，底层的文件系统需要对 ACL 进行支持，并在挂载时启用相应选项。ext4、XFS 等常见文件系统均支持 ACL，但需要在挂载时添加 acl 选项，或者在 /etc/fstab 中显式开启。
下面展示如何对已挂载的分区开启 ACL，以及如何确认启用状态。挂载时开启 acl，能确保 getfacl/setfacl 的生效。
在现有挂载下，可通过重新挂载来启用 ACL：
# 重新挂载分区以开启 ACL（假设分区为 /）
sudo mount -o remount,acl /
确认当前挂载的选项，确保 ACL 已启用：mount | grep acl。
$ mount | grep ' on / '/dev/sda1 on / type ext4 (rw,relatime,errors=remount-ro,acl)
四、常用 ACL 操作命令与应用场景
4.1 设置与修改 ACL 条目（ACE）
通过setfacl命令，可以为特定用户或组赋予或移除权限。ac e 的目标是实现最小权限原则的细粒度授权，确保仅授权必要的访问。
示例：为用户 alice 赋予对 /var/www/html 的 rwx 权限，为组 webgroup 赋予 r-x 权限；同时设置默认 ACL，以便新创建的文件继承这些权限。
sudo setfacl -m u:alice:rwx /var/www/html
sudo setfacl -m g:webgroup:rx /var/www/html
sudo setfacl -d -m u:alice:rwx /var/www/html
要移除某个主体的 ACL，可以使用：
sudo setfacl -x u:alice /var/www/html
4.2 设置默认 ACL 与权限的继承规则
对于目录，默认 ACL定义了该目录下新创建的文件和子目录应继承的权限。正确使用默认 ACL，可以实现对目录树的一致控制。
示例：为目录 /var/www/html 设置默认 ACL，使新建的文件自动带有 user:bob 的 rw- 权限以及默认的组权限：
sudo setfacl -dm u:bob:rw- /var/www/html
sudo setfacl -dm g:webgroup:r-- /var/www/html
五、默认 ACL、掩码与权限传播
5.1 掩码（mask）对 ACL 的影响
掩码（mask）用于限制对所有用户组权限的最大权限值，等价于组 ACL 的权限上限。如果掩码设置为 rwx，那么对组成员的实际权限才可能达到 rwx；若设置为 r--，则组成员的可用权限被限制成 r--。
理解掩码的作用，可以避免过度暴露或过度限制的问题，确保组权限不会超出管理员设定的上限。
# 查看当前 ACL 与掩码
getfacl /var/www/html
常见操作包括手动调整掩码：
sudo setfacl -m m:rw- /var/www/html
5.2 与默认 ACL 的协同作用
默认 ACL 的存在使得在目录中新建的文件/子目录能够继承父目录的权限设计，从而避免每次都手动设置。结合掩码机制，可以实现一致的跨用户组的细粒度控制。
实际场景中，确保新项目目录的默认 ACL 能覆盖所有相关主体，是实现一体化权限策略的关键。
六、与 SELinux/AppArmor 的细粒度访问控制
6.1 SELinux 框架、策略与上下文
在具备强制访问控制需求的环境中，SELinux（或 AppArmor）与传统的 UNIX 权限结合使用，可以实现跨进程、跨上下文的粒度控制。查看文件上下文常用命令为 ls -Z，调整上下文可使用 chcon、以及策略调整工具如 semanage。
通过将文件、目录的上下文与操作主体的标签进行匹配，可以实现更细粒度的访问控制策略，超出传统 ACL 的范围。
# 查看文件的 SELinux 上下文
ls -Z /var/www/html
# 修改上下文以匹配应用需求（示例）
sudo chcon -t httpd_sys_content_t /var/www/html
七、实战案例：为应用目录实现细粒度权限
7.1 场景描述与目标
假设有一个 Web 应用，运行在用户 www-data 下，需要让开发人员 alice 仅对代码目录具备只读访问，而数据库账号 dbuser 仅对日志目录具备写入权限。通过结合 ACL、默认 ACL 与 SELinux 策略，可以实现这一目标且保持简洁的权限管理。
先定义目标权限：Alice 读取代码、dbuser 写入日志、www-data 拥有执行与读取能力。接着配置 ACL、默认 ACL，并结合 SELinux 上下文进行最终绑定。
# 目录结构示例
sudo mkdir -p /srv/app/code /srv/app/logs# 赋予基础所有者和组
sudo chown -R www-data:www-data /srv/app# 1) 为 alice 设置对 code 的只读权限
sudo setfacl -m u:alice:r-- /srv/app/code
# 2) 为 dbuser 设置对 logs 的写权限
sudo setfacl -m u:dbuser:rw- /srv/app/logs
# 3) 设置默认 ACL，确保子目录自动继承
sudo setfacl -d -m u:alice:r-- /srv/app/code
sudo setfacl -d -m u:dbuser:rw- /srv/app/logs# 4) SELinux 上下文（示例，具体策略按环境调整）
sudo chcon -R -t httpd_sys_content_t /srv/app/code
sudo chcon -R -t var_log_t /srv/app/logs
通过上述组合，n个主体的不同需求得以在同一目录结构中并存，同时保持系统的整体安全性。需要持续监控 ACL 与 SELinux 策略的兼容性，确保在软件升级或策略调整时不会产生权限漂移。
7.2 常见问题与排错要点
在实际运维中，常见的问题包括权限看起来正确却无法访问、默认 ACL 未生效、以及掩码导致的意外权限降低等。排错时，优先检查是否启用了 ACL、是否存在冲突的 SELinux 策略，以及掩码设置是否覆盖目标主体。结合 getfacl、setfacl、ls -l、ls -Z 等命令，可以快速定位问题根源。
本文围绕 Linux权限细分与 ACL 配置全解析，覆盖从基本权限到细粒度访问控制的实操指南。通过对传统权限、ACL、默认 ACL、掩码，以及与 SELinux/AppArmor 的集成理解，你可以在实际场景中快速设计并实现精准的访问控制策略。
