1. 用戶與權(quán)限的基本概念在 Linux 系統(tǒng)中每個文件和目錄都屬于一個用戶owner和一個用戶組group。權(quán)限就是對這三類身份分別設(shè)定的用戶user / owner文件的擁有者通常是創(chuàng)建者。用戶組group文件所屬的組組內(nèi)所有用戶共享組權(quán)限。其他人other既不是擁有者也不屬于該組的其他所有用戶。這三類身份各自擁有三種基本權(quán)限權(quán)限對文件的意義對目錄的意義r讀可以查看文件內(nèi)容可以列出目錄中的文件列表lsw寫可以修改文件內(nèi)容可以在目錄中創(chuàng)建、刪除文件x執(zhí)行可以執(zhí)行該文件如程序、腳本可以進(jìn)入該目錄cd訪問目錄內(nèi)文件2. 查看權(quán)限ls -l我們用 ls -l 來查看文件的詳細(xì)權(quán)限。例如$ ls -l main.cpp -rw-r--r-- 1 alice developers 2048 Jun 30 10:00 main.cpp第一列 -rw-r--r-- 就是權(quán)限字符串我們來拆解一下- rw- r-- r--① ② ③ ④① 文件類型- 表示普通文件d 目錄l 符號鏈接等。② 用戶權(quán)限3位rw- → 可讀可寫不可執(zhí)行③ 組權(quán)限3位r-- → 可讀不可寫不可執(zhí)行④ 其他人權(quán)限3位r-- → 可讀不可寫不可執(zhí)行后面的 alice 是所有者developers 是所屬組。3. 修改權(quán)限chmod3.1 符號模式用 u用戶、g組、o其他人、a所有人配合 、-、 來增減權(quán)限chmod ux run.sh # 給擁有者增加執(zhí)行權(quán)限 chmod go-w file.txt # 去掉組和其他人的寫權(quán)限 chmod arx script.sh # 所有人只有讀和執(zhí)行權(quán)限 chmod o-rwx secret.txt # 把其他人的所有權(quán)限刪除3.2 數(shù)字模式最常用每種權(quán)限對應(yīng)一個數(shù)字r4w2x1。三組權(quán)限分別用一個 0-7 的數(shù)字表示。每種權(quán)限對應(yīng)一個數(shù)字r4w2x1。三組權(quán)限分別用一個 0-7 的數(shù)字表示。數(shù)字二進(jìn)制權(quán)限0000---1001--x2010-w-3011-wx4100r--5101r-x6110rw-7111rwx例如我們想讓一個文件擁有者讀、寫、執(zhí)行 → 7組讀、執(zhí)行 → 5其他人無權(quán)限 → 0命令就是chmod 750 myprogram常見組合755目錄或可執(zhí)行文件的標(biāo)配自己全權(quán)限別人只讀和執(zhí)行644普通文件默認(rèn)權(quán)限自己讀寫別人只讀700私人腳本或密鑰僅自己可訪問4. 修改所有者和組chown / chgrpchown 改變所有者可同時改組chown alice file.txt # 把所有者改為 alice chown alice:developers file.txt # 同時改所有者和組chgrp 只改組chgrp developers file.txt修改權(quán)限通常需要 root 或文件所有者身份。5. 默認(rèn)權(quán)限與 umask新建文件或目錄時系統(tǒng)會根據(jù)一個叫做 umask 的值來屏蔽部分權(quán)限。默認(rèn)權(quán)限滿值減去 umask 值就是最終權(quán)限。文件默認(rèn)滿值是 666因為一般不讓新文件有執(zhí)行權(quán)限目錄是 777。查看當(dāng)前 umask$ umask 0022 # 后三位是八進(jìn)制掩碼第一位是特殊權(quán)限位暫時不管以 umask 022 為例新文件666 - 022 644rw-r--r--新目錄777 - 022 755rwxr-xr-x可以臨時修改 umaskumask 002 # 現(xiàn)在新文件變成 664組內(nèi)可寫6. 特殊權(quán)限SUID、SGID、Sticky Bit粘滯位除了 rwx 之外還有三個特殊權(quán)限位它們通常用數(shù)字 4SUID、2SGID、1Sticky表示放在常規(guī)權(quán)限數(shù)字的前面。6.1 SUIDSet User ID—— 數(shù)字 4當(dāng)對一個可執(zhí)行文件設(shè)置 SUID 位后任何用戶執(zhí)行該程序時都會以文件擁有者的權(quán)限運行而不是執(zhí)行者自身的權(quán)限。最經(jīng)典的例子是 passwd 命令它允許普通用戶修改自己的密碼需要寫入 /etc/shadow該文件只有 root 可寫。$ ls -l /usr/bin/passwd -rwsr-xr-x 1 root root 68208 ... /usr/bin/passwd看到用戶權(quán)限位的 s 了嗎它取代了原來的 x表示 SUID 已設(shè)置且擁有者有執(zhí)行權(quán)限。設(shè)置 SUIDchmod us myprogram # 符號法 chmod 4755 myprogram # 數(shù)字法首位 4 表示 SUID安全風(fēng)險SUID 讓普通程序具有高權(quán)限若程序有漏洞可能被提權(quán)攻擊因此要謹(jǐn)慎使用。6.2 SGIDSet Group ID—— 數(shù)字 2SGID 對文件和目錄的行為不同作用于可執(zhí)行文件執(zhí)行時以文件所屬組的權(quán)限運行類似 SUID 的組版本。作用于目錄更常用在該目錄下創(chuàng)建的新文件其所屬組會自動繼承父目錄的組而不是創(chuàng)建者自己的主組。這對于多人共享協(xié)作目錄非常有用。設(shè)置 SGID 目錄chgrp developers shared/ chmod gs shared/ # 或 chmod 2775 shared/ ls -ld shared/ drwxrwsr-x 2 alice developers 4096 ... shared/注意權(quán)限位中的 s 出現(xiàn)在組權(quán)限的位置。6.3 Sticky Bit粘滯位—— 數(shù)字 1粘滯位Sticky Bit僅對目錄有意義。設(shè)置了粘滯位的目錄任何用戶都可以在該目錄下創(chuàng)建文件但只能刪除自己擁有的文件不能刪除別人的文件即使目錄本身是 777 權(quán)限。最經(jīng)典的例子是 /tmp 目錄$ ls -ld /tmp drwxrwxrwt 20 root root 4096 ... /tmp其他人權(quán)限位的 t 表示粘滯位已設(shè)置且執(zhí)行權(quán)限存在。設(shè)置粘滯位chmod ot shared_dir # 符號法 chmod 1777 shared_dir # 數(shù)字法首位 1 表示 Sticky常見應(yīng)用場景多用戶共享的臨時目錄、文件上傳目錄。它既能保證所有用戶都能寫又能防止惡意或誤刪他人的文件。7. 常見誤區(qū)與注意事項對目錄的執(zhí)行權(quán)限理解不清想訪問目錄內(nèi)文件必須要有目錄的x權(quán)限。只有r權(quán)限就只能ls列出文件名但不能cd進(jìn)去也不能訪問文件內(nèi)容。數(shù)字模式首位經(jīng)常忘chmod 777只設(shè)置基本權(quán)限。要同時加 SUID、SGID 或 Sticky 必須寫四位數(shù)如1777、2775、4755。忘了首位會清零特殊權(quán)限。SUID 的安全陷阱不要給不可信的二進(jìn)制文件設(shè)置 SUID尤其是 root 的 SUID 程序可能成為系統(tǒng)漏洞的入口。目錄的 w 權(quán)限不等于可刪除刪除文件需要目錄的寫權(quán)限與文件本身的寫權(quán)限無關(guān)。即使文件是只讀的只要用戶有目錄的寫權(quán)限就可以刪除它。權(quán)限修改需要文件所有權(quán)或 root普通用戶不能隨意chmod別人的文件也不能把文件的所有者chown給別人除非是 root。8. 小結(jié)Linux 權(quán)限模型基于用戶、組、其他人三種身份配以讀、寫、執(zhí)行三種權(quán)限。使用ls -l查看權(quán)限用chmod符號或數(shù)字修改。用chown、chgrp改變所有者和組。umask控制新建文件的默認(rèn)權(quán)限。特殊權(quán)限SUID (4)執(zhí)行時以文件所有者權(quán)限運行。SGID (2)文件以所屬組運行目錄中新建文件繼承目錄的組。Sticky (1)目錄中只有文件所有者能刪除自己的文件。