. 4 root root 4096 Sep 8 14:06 .
drwxr-xr-x. 23 root root 4096 Sep 8 14:21 ..
-rw——-. 1 root root 1474 Sep 4 18:27 anaconda-ks.cfg
-rw——-. 1 root root 199 Sep 8 17:14 .bash_history
-rw-r–r–. 1 root root 24 Jan 6 2007 .bash_logout
…

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48

各文件针对不同用户设定的权限，一共 11 位，但第 1 位用于表示文件的具体类型，最后一位此文件受 SELinux 的安全规则管理。

![](https://lautung-1256670757.cos.ap-guangzhou.myqcloud.com/image_1622624190851.png#alt=%E6%96%87%E4%BB%B6%E6%9D%83%E9%99%90%E4%BD%8D)

## rwx 权限对文件的作用

文件，是系统中用来存储数据的，包括普通的文本文件、数据库文件、二进制可执行文件，等等。不同的权限对文件的含义如表 1 所示。

| 				rwx 权限 | 				对文件的作用 |
| --- | --- |
| 				读权限（r） | 				表示可读取此文件中的实际内容，例如，可以对文件执行 cat、more、less、head、tail 等文件查看命令。 |
| 				写权限（w） | 				表示可以编辑、新增或者修改文件中的内容，例如，可以对文件执行 vim、echo 等修改文件数据的命令。注意，无权限不赋予用户删除文件的权利，除非用户对文件的上级目录拥有写权限才可以。 |
| 				执行权限（x） | 				表示该文件具有被系统执行的权限。Window系统中查看一个文件是否为可执行文件，是通过扩展名（.exe、.bat 等），但在 Linux 系统中，文件是否能被执行，是通过看此文件是否具有 x 权限来决定的。也就是说，只要文件拥有 x 权限，则此文件就是可执行文件。但是，文件到底能够正确运行，还要看文件中的代码是否正确。 |


对于文件来说，执行权限是最高权限。给用户或群组设定权限时，是否赋予执行权限需要慎重考虑，否则会对系统安装造成严重影响。

## rwx 权限对目录的作用

目录，主要用来记录文件名列表，不同的权限对目录的作用如表 2 所示。

| 				rwx 权限 | 				对目录的作用 |
| --- | --- |
| 				读权限（r） | 				表示具有读取目录结构列表的权限，也就是说，可以看到目录中有哪些文件和子目录。一旦对目录拥有 r 权限，就可以在此目录下执行 ls 命令，查看目录中的内容。 |
| 				写权限（w） | 				对于目录来说，w 权限是最高权限。对目录拥有 w 权限，表示可以对目录做以下操作：				
- 						在此目录中建立新的文件或子目录；
- 						删除已存在的文件和目录（无论子文件或子目录的权限是怎样的）；
- 						对已存在的文件或目录做更名操作；
- 						移动此目录下的文件和目录的位置。
				一旦对目录拥有 w 权限，就可以在目录下执行 touch、rm、cp、mv 等命令。 |
| 				执行权限（x） | 				目录是不能直接运行的，对目录赋予 x 权限，代表用户可以进入目录，也就是说，赋予 x 权限的用户或群组可以使用 cd 命令。 |


对目录来说，如果只赋予 r 权限，则此目录是无法使用的。很简单，只有 r 权限的目录，用户只能查看目录结构，根本无法进入目录（需要用 x 权限），更不用说使用了。

因此，对于目录来说，常用来设定目录的权限其实只有 0（---）、5（r-x）、7（rwx）这 3 种。

# chmod命令：修改文件或目录的权限

chmod 命令是change mode的缩写。

chmod 命令设定文件权限的方式有 2 种，分别可以使用数字或者符号来进行权限的变更。

## 使用数字修改文件权限

Linux 系统中，文件的基本权限由 9 个字符组成，以 rwxrw-r-x 为例，我们可以使用数字来代表各个权限，各个权限与数字的对应关系如下：

r –> 4
w –> 2
x –> 1

1
2
3
4
5

由于这 9 个字符分属 3 类用户，因此每种用户身份包含 3 个权限（r、w、x），通过将 3 个权限对应的数字累加，最终得到的值即可作为每种用户所具有的权限。

拿 rwxrw-r-x 来说，所有者、所属组和其他人分别对应的权限值为：

所有者 = rwx = 4+2+1 = 7
所属组 = rw- = 4+2 = 6
其他人 = r-x = 4+1 = 5

1
2
3
4
5

所以，此权限对应的权限值就是 765。

使用数字修改文件权限的 chmod 命令基本格式为：

[root@localhost ~]# chmod [-R] 权限值 文件名

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

-R（注意是大写）选项表示连同子目录中的所有文件，也都修改设定的权限。

## 使用字母修改文件权限

既然文件的基本权限就是 3 种用户身份（所有者、所属组和其他人）搭配 3 种权限（rwx），chmod 命令中用 u、g、o 分别代表 3 种身份，还用 a 表示全部的身份（all 的缩写）。另外，chmod 命令仍使用 r、w、x 分别表示读、写、执行权限。

使用字母修改文件权限的 chmod 命令，其基本格式如图 1 所示。

![](https://lautung-1256670757.cos.ap-guangzhou.myqcloud.com/image_1622629693601.png#alt=%E5%9B%BE%201%20chmod%20%E5%91%BD%E4%BB%A4%E5%9F%BA%E6%9C%AC%E6%A0%BC%E5%BC%8F)

# umask详解：令新建文件和目录拥有默认权限

Linux 是注重安全性的操作系统，而安全的基础在于对权限的设定，不仅所有已存在的文件和目录要设定必要的访问权限，创建新的文件和目录时，也要设定必要的初始权限。

Windows 系统中，新建的文件和目录时通过继承上级目录的权限获得的初始权限，而 Linux 不同，它是通过使用 umask 默认权限来给所有新建的文件和目录赋予初始权限的。

那么，我们如何得知 umask 默认权限的值呢？直接通过 umask 命令即可：

[root@localhost ~]# umask
0022
#root用户默认是0022，普通用户默认是 0002

1
2
3
4
5
6
7

读者可能会问，不应该只有 3 个数字（分别对应 3 种用户身份）吗，为什么有 4 个？ umask 默认权限确实由 4 个八进制数组成，但第 1 个数代表的是文件所具有的特殊权限（SetUID、SetGID、Sticky BIT），此部分内容放到后续章节中讲解，现在先不讨论。也就是说，后 3 位数字 "022" 才是本节真正要用到的 umask 权限值，将其转变为字母形式为 ----w--w-。

注意，虽然 umask 默认权限是用来设定文件或目录的初始权限，但并不是直接将 umask 默认权限作为文件或目录的初始权限，还要对其进行 "再加工"。

文件和目录的真正初始权限，可通过以下的计算得到：

文件（或目录）的初始权限 = 文件（或目录）的最大默认权限 - umask权限

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

如果按照官方的标准算法，需要将 umask 默认权限使用二进制并经过逻辑与和逻辑非运算后，才能得到最终文件或目录的初始权限，计算过程比较复杂，且容易出错，因此本节给大家介绍了更简单的计算方式。

显然，如果想最终得到文件或目录的初始权限值，我们还需要了解文件和目录的最大默认权限值。在 Linux 系统中，文件和目录的最大默认权限是不一样的：

- 对文件来讲，其可拥有的最大默认权限是 666，即 rw-rw-rw-。也就是说，使用文件的任何用户都没有执行（x）权限。原因很简单，执行权限是文件的最高权限，赋予时绝对要慎重，因此绝不能在新建文件的时候就默认赋予，只能通过用户手工赋予。
- 对目录来讲，其可拥有的最大默认权限是 777，即 rwxrwxrwx。

接下来，我们利用字母权限的方式计算文件或目录的初始权限。以 umask 值为 022 为例，分别计算新建文件和目录的初始权限：

- 文件的最大默认权限是 666，换算成字母就是 "-rw-rw-rw-"，umask 的值是 022，换算成字母为 "-----w--w-"。把两个字母权限相减，得到 (-rw-rw-rw-) - (-----w--w-) = (-rw-r--r--)，这就是新建文件的初始权限。我们测试一下：```
[root@localhost ~]# umask
0022
#默认umask的值是0022
[root@localhost ~]# touch file  <--新建file空文件
[root@localhost ~]# ll -d file
-rw-r--r--. 1 root root 0 Apr 18 02:36 file
  • 目录的默认权限最大可以是 777，换算成字母就是 “drwxrwxrwx”，umask 的值是 022，也就是 “—–w–w-“。把两个字母权限相减，得到的就是新建目录的默认权限，即 (drwxrwxrwx) - (—–w–w-) = (drwxr-xr-x)。我们再来测试一下：```
    [root@localhost ~]# umask
    0022
    [root@localhost ~]# mkdir catalog <–新建catalog目录
    [root@localhost ~]# ll -d catalog
    drwxr-xr-x. 2 root root 4096 Apr 18 02:36 catalog
    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12



    注意，在计算文件或目录的初始权限时，不能直接使用最大默认权限和 umask 权限的数字形式做减法，这是不对的。例如，若 umask 默认权限的值为 033，按照数字形式计算文件的初始权限，666-033=633，但我们按照字母的形式计算会得到 （rw-rw-rw-) - (----wx-wx) = (rw-r--r--)，换算成数字形式是 644。

    > 这里的减法，其实是“遮盖”的意思，也就是说，最大默认权限中和 umask 权限公共的部分，通过减法运算会被遮盖掉，最终剩下的“最大默认权限”，才是最终赋予文件或目录的初始权限。


    ## umask默认权限的修改方法

    umask 权限值可以通过如下命令直接修改：

    [root@localhost ~]# umask 002
    [root@localhost ~]# umask
    0002
    [root@localhost ~]# umask 033
    [root@localhost ~]# umask
    0033
    1
    2
    3

    不过，这种方式修改的 umask 只是临时有效，一旦重启或重新登陆系统，就会失效。如果想让修改永久生效，则需要修改对应的环境变量配置文件 /etc/profile。例如：

    [root@localhost ~]# vim /etc/profile
    …省略部分内容…
    if [ $UID -gt 199]&&[ “‘id -gn’” = “‘id -un’” ]; then
    umask 002
    #如果UID大于199（普通用户），则使用此umask值
    else
    umask 022
    #如果UID小于199（超级用户），则使用此umask值
    fi
    …省略部分内容…
    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12
    13

    这是一段 Shell 脚本程序，不懂也没关系，大家只需要知道，普通用户的 umask 由 if 语句的第一段定义，而超级用户 root 的 umask 值由 else 语句定义即可。 修改此文件，则 umask 值就会永久生效。

    # ACL访问控制权限

    ACL，是 Access Control List（访问控制列表）的缩写，在 Linux 系统中， ACL 可实现对单一用户设定访问文件的权限。

    也可以这么说，设定文件的访问权限，除了用传统方式（3 种身份搭配 3 种权限），还可以使用 ACL 进行设定。

    ## 开启 ACL 权限

    CentOS 6.x 系统中，ACL 权限默认处于开启状态，无需手工开启。但如果你的操作系统不是 CentOS 6.x，可以通过如下方式查看ACL权限是否开启：

    [root@localhost ~]# mount
    /dev/sda1 on /boot type ext4 (rw)
    /dev/sda3 on I type ext4 (rw)
    …省略部分输出…

#使用mount命令可以看到系统中已经挂载的分区，但是并没有看到ACL权限的设置
[root@localhost ~]# dumpe2fs -h /dev/sda3
#dumpe2fs是查询指定分区文件系统详细信息的命令
…省略部分输出…
Default mount options: user_xattr acl
…省略部分输出…

1
2
3
4
5
6
7

其中，dumpe2fs 命令的 -h 选项表示仅显示超级块中的信息，而不显示磁盘块组的详细信息；

使用 mount 命令可以查看到系统中已经挂载的分区，而使用 dumpe2fs 命令可以查看到这个分区文件系统的详细信息。大家可以看到，我们的 ACL 权限是 /dev/sda3 分区的默认挂载选项，所以不需要手工挂载。

如果 Linux 系统如果没有默认挂载，可以执行如下命令实现手动挂载：

[root@localhost ~]# mount -o remount,acl /
#重新挂载根分区，并加入ACL权限

1
2
3

使用 mount 命令重新挂载，并加入 ACL 权限。但使用此命令只是临时生效，要想永久生效，需要修改 /etc/fstab 文件，修改方法如下：

[root@localhost ~]#vi /etc/fstab
UUID=c2ca6f57-b15c-43ea-bca0-f239083d8bd2 /ext4 defaults,acl 1 1
#加入ACL权限
[root@localhost ~]# mount -o remount /
#重新挂载文件系统或重启系统，使修改生效

1
2
3
4
5
6
7
8
9

在你需要开启 ACL 权限的分区行上（也就是说 ACL 权限针对的是分区），手工在 defaults 后面加入 "，acl" 即可永久在此分区中开启 ACL 权限。

## ACL权限设置（setfacl和getfacl）

设定 ACl 权限，常用命令有 2 个，分别是 setfacl 和 getfacl 命令，前者用于给指定文件或目录设定 ACL 权限，后者用于查看是否配置成功。

getfacl 命令用于查看文件或目录当前设定的 ACL 权限信息。该命令的基本格式为：

[root@localhost ~]# getfacl 文件名

1
2
3
4
5

getfacl 命令的使用非常简单，且常和 setfacl 命令一起搭配使用。

setfacl 命令可直接设定用户或群组对指定文件的访问权限。此命令的基本格式为：

[root@localhost ~]# setfacl 选项 文件名


# mask有效权限详解

# ...

# 

# 参考

1. [http://c.biancheng.net/view/762.html](http://c.biancheng.net/view/762.html)