Linux权限模型与基本概念
用户、组与其他权限的结构
在Linux中，文件和目录的访问控制由三组权限来决定，分别对应用户（u）、组（g）和其他人（o）。每组都拥有读、写、执行三种基础权限，合在一起形成了完整的权限结构，决定了谁可以对目标对象执行哪些操作。
查看权限结构的直观方式通常使用命令 ls -l，其中第一列的十个字符按顺序表示文件类型、三组权限及特殊位。理解这些位是理解Linux权限模型的基石。下面的示例可以帮助快速认知权限的含义。
# 查看权限字段
ls -l /etc/passwd
三个用户组的权限位是独立的，这意味着同一文件/目录对用户、对组、对其他人可以有不同的权限集合，形成灵活的访问策略。理解这一点是后续进行细粒度控制的前提。
octal 表示与特殊位
权限还可以用数字表示，常见的三位八进制数字如755、644、750分别对应所有者、所属组和其他人的组合权限。数字的每一位对应读/写/执行的合成值，其中 r=4、w=2、x=1，三位相加得到该组的权限总和。
特殊位包括 setuid、setgid 与 sticky，它们不会直接映射到普通的 rwx 位，而是在执行时引发额外的行为，例如执行文件时以文件所有者权限运行、目录中的新创建文件继承组等。合理使用这些位可以提升效率，但也带来潜在的安全风险。
# 查看一个目录及其特殊位
ls -ld /tmp
常见的结合场景如 drwxrwxrwt 表示目录的拥有者具有全部权限，组和其他人具有读写执行权限，并且 sticky 位确保只有文件所有者或 root 可以删除目录内的文件。
特殊权限的深入解析
setuid（s位在用户执行位上）使可执行文件在运行时以文件所有者的权限运行；setgid（g位）在目录上常用，表示新建文件/子目录继承目录的组；sticky位常见于公共临时目录，如 /tmp，限制删除只能由文件所有者、目录所有者或 root 执行。这些机制在运维中极其常见，但错误使用会导致提升权限或数据泄露的风险，因此需要理解风险点并在合适场景下使用。
对比不同场景的影响，当一个脚本需要访问系统钥匙环或日志文件时，谨慎开启 setuid；在多人共用的目录中应优先采用 ACL 或严格的默认权限策略来降低风险。
chmod命令与常用用法
基本用法与符号
chmod 提供两种修改权限的模式：符号模式（u/g/o/a、+ - =、r/w/x 等）和数字模式（八进制三位表示所有者、所属组、其他人）。符号模式直观，数字模式简洁，二者在日常运维中各有应用场景。
典型示例：给脚本添加执行权限、赋予所有用户对配置文件的只读权限等，均可通过 chmod 实现。以下示例展示常用的两种写法。
# 符号模式：赋予所有用户执行权限
chmod a+x /usr/local/bin/myscript.sh# 数字模式：所有者读写执行，组和其他人只读
chmod 755 /usr/local/bin/myscript.sh
权限细分的可控性，通过符号模式可以灵活地增加或删除某一类用户的权限，通过数字模式快速设定整组权限的组合，确保在运维脚本中能够快速复现权限状态。
递增与递减权限的常见场景
在部署应用或发布临时性工具时，常需要临时提高某些对象的权限；完成任务后应及时回退，确保最小权限原则。递增权限通常通过 +x、+w、+r 完成，递减权限则通过 -x、-w、-r 实现。
与 umask 的关系，umask 决定默认新建文件/目录的权限起始值，结合 chmod 的最终权限可以实现严格的并发环境的权限策略。下面是一个常见的 umask 场景示例。
# 设置默认新建文件的权限为 644，目录为 755
umask 022
实践中的权限安全要点
针对脚本和可执行文件的权限策略
脚本和可执行文件应避免对所有人开放写权限，可执行位应仅分配给需要执行的用户组，防止恶意修改。对关键脚本应启用合适的用户和组所有权，并结合日志审计追踪变更。
执行环境的最小权限原则要求对可执行文件设置合适的所有者、组和权限，尽量防止非授权用户修改或替换重要脚本，同时确保日志和错误输出可追溯。
# 设置脚本的权限仅可所有者执行
chmod 700 /opt/app/scripts/deploy.sh
目录权限与继承
目录权限不仅影响对目录本身的访问，还影响目录内对象的创建和遍历。setgid 位 在目录上可以确保新建文件/子目录继承父目录的组，提升团队协作中的一致性。
在公共共享目录中，合理使用 sticky 位 可以防止其他用户删除不属于自己的文件，提升系统的安全性和稳定性。
# 使共享目录下的新对象继承组
chmod g+s /shared
运维场景下的常用命令汇总
查看与修复权限
在运维巡检中，快速确认权限状态是常用操作。ls -ld 查看目录自身权限、stat 提供更详细的权限与时间信息，getfacl 与 setfacl 则用于 ACL 的管理。
示例命令帮助快速定位权限异常并定位责任人或任务范围。
# 查看目录权限与所有者信息
ls -ld /var/www/html# 以详细格式显示权限和时间戳
stat -c '%A %U %G %n' /var/www/html# 查看 ACL 信息
getfacl /var/www/html
批量修改权限
在大规模主机或目录树中，批量修改权限是常见需求。使用 chmod -R、chown -R 与 find -exec 可以实现高效的权限治理，但需要先在测试环境验证，避免误操作导致业务中断。
实践要点包括先备份、逐层验证、避免在生产环境对数据库或敏感路径使用递归写权限。
# 递归修改目录及其子对象的权限
chmod -R 755 /var/www/html# 递归修改所有者/组
chown -R www-data:www-data /var/www/html# 结合 find 精确定位并修改
find /opt/app -type f -name '*.sh' -exec chmod 750 {} \;
高级权限控制与扩展
ACL与SELinux
当基础权限不足以表达复杂的场景时，ACL（Access Control Lists）提供了对单个用户的细粒度访问控制。通过 getfacl 与 setfacl 可以对特定用户或组赋予额外权限，提升灵活性。
此外，SELinux 等强制访问控制模型在生产环境中广泛应用，用来限制进程对资源的访问范围，增强系统安全性。理解上下文、策略和布尔逻辑是使用 SELinux 的核心。
# 查看 ACL 与基本权限
getfacl /var/www/html# 给特定用户增加读权限
setfacl -m u:alice:r-- /var/www/html/index.html
setuid/setgid和Sticky位的风险点
虽然 setuid、setgid 与 sticky 位在某些场景下是必要工具，但滥用会带来严重的安全风险，例如提升攻击者权限、横向移动等。因此，在生产环境中应谨慎开启，且只对明确需要的对象启用，并配合审计和最小权限原则。
风险点回顾包括：未授权的脚本具有执行权限、系统级守护进程被错误地赋予过高权限、公共目录过度暴露等。持续的安全基线检查有助于降低此类风险。
