权限系统

ls -l app.log
# -rw-r--r-- 1 root root 1024 Jul  1 10:00 app.log
# ^^^^^^^^^^  权限
#  |  |  |
#  |  |  └── 其他人（other）的权限：r--
#  |  └───── 所属组（group）的权限：r--
#  └──────── 所有者（owner）的权限：rw-

-  rw-  r--  r--
│  │││  │││  │││
│  │││  │││  └└└── other 权限
│  │││  └└└──── group 权限
│  └└└───────── owner 权限
└────────────── 文件类型（- 普通文件, d 目录, l 链接）

# 数字速记
chmod 755 script.sh    # rwxr-xr-x（owner 全权限，其他读+执行）
chmod 644 config.conf   # rw-r--r--（owner 可写，其他只读）
chmod 600 private.key   # rw-------（仅 owner 可读写）
chmod 777 public/       # rwxrwxrwx（所有人全权限——危险！）

# 场景：目录 777 但无法进入
mkdir testdir
chmod 666 testdir      # 有 rw 但没有 x
ls testdir              # 能列出
cd testdir              # Permission denied  ← 缺 x

# 场景：有 x 没有 r（经典的 711 目录，如 /home/用户名）——能"穿过"目录访问已知文件，但列不出目录
# 注意：必须以「其他用户」身份测试。owner 自己用的是 owner 位（这里 rwx），照样能 ls
chmod 711 testdir
echo hi > testdir/known.txt
sudo -u nobody ls testdir             # Permission denied  ← other 无 r，列不出文件名
sudo -u nobody cat testdir/known.txt  # 成功  ← other 有 x 能穿过目录，known.txt 自身可读

# 场景：目录只读（r-x）——已存在文件的内容照样能改，改不了的是「目录条目」
chmod 555 folder/               # 你是 owner，但去掉了目录的 w
cd folder/
echo "update" > existing.txt    # 成功！改已有文件内容只看文件自己的 w，与目录的 w 无关
echo "new"    > brandnew.txt    # Permission denied ← 新建文件要写目录条目，需目录 w
rm existing.txt                 # Permission denied ← 删除同理，动的是目录不是文件

chmod u+x script.sh          # owner 加执行权限
chmod g-w config.conf        # group 去掉写权限
chmod o-r private.key        # other 去掉读权限
chmod a+r public.txt         # all（所有人）加读权限
chmod u=rwx,g=rx,o= script.sh  # 精确设置

chmod 755 script.sh          # rwxr-xr-x
chmod 644 config.conf        # rw-r--r--
chmod 600 private.key        # rw-------
chmod 400 public_key.pub     # r--------（只读保护）
chmod 700 ~/.ssh             # rwx------（SSH 目录安全要求）
chmod -R 755 /var/www/       # 递归修改（谨慎：普通文件不该都有 x）
chmod -R u=rwX,go=rX /var/www/  # 推荐：大写 X 只给「目录」和「本就可执行的文件」加 x，普通文件不会被误加执行位

# 目录设 755，文件设 644（常见组合）
find /var/www -type d -exec chmod 755 {} \;
find /var/www -type f -exec chmod 644 {} \;

chown deploy app.log                   # 改所有者
chown deploy:deploy app.log            # 同时改所有者和组
chown -R deploy:deploy /opt/myapp/     # 递归修改

chgrp www-data /var/www/html/          # 改所属组
chgrp -R www-data /var/www/            # 递归修改

# 查看当前值
umask
# 输出 0022（第一位是特殊权限，看后三位 022）

# 临时修改
umask 027                     # 当前 Shell 会话有效

# 永久设置：写入 shell 配置文件
echo "umask 027" >> ~/.bashrc

# 系统级设置
# /etc/profile 或 /etc/bashrc 中修改

# 当前 umask 022 下
touch testfile
mkdir testdir
ls -ld testfile testdir
# -rw-r--r-- 1 user user  0 Jul  1 10:00 testfile    ← 644（从 666 清除 022 置位的权限）
# drwxr-xr-x 2 user user 40 Jul  1 10:00 testdir     ← 755（从 777 清除 022 置位的权限）

# 普通用户的 passwd 命令
ls -l /usr/bin/passwd
# -rwsr-xr-x 1 root root 59976 Jan 1 12:00 /usr/bin/passwd
#    ^ 这里是 s 而不是 x

# 含义：任何人执行这个文件时，都以文件所有者（root）的身份运行
# 所以普通用户可以用 passwd 改自己的密码（需要写 /etc/shadow，root 才有权限）

chmod 4755 /usr/bin/myprogram    # 加 SUID
chmod u+s /usr/bin/myprogram     # 符号方式

find / -perm -4000 -type f 2>/dev/null
# 检查有没有不该有 SUID 的可疑文件

ls -l /usr/bin/write
# -rwxr-sr-x 1 root tty ...
#        ^ SGID

# 含义：
#   - 对可执行文件：以文件所属组的身份运行
#   - 对目录：在此目录下创建的新文件继承目录的组所有者

# 项目目录
mkdir /opt/project
chgrp developers /opt/project
chmod 2775 /opt/project          # 2 = SGID
# 或
chmod g+s /opt/project

# 现在所有在 /opt/project 下创建的文件都属于 developers 组
# 团队成员都能读写

ls -ld /tmp
# drwxrwxrwt 20 root root 4096 Jul  1 10:00 /tmp
#          ^ t

# 含义：只有文件所有者和 root 才能删除目录中的文件
# 即使目录是 777，A 用户也删不了 B 用户的文件

chmod 1777 /tmp     # 等同于 chmod +t /tmp

# 现象：heiye（普通用户）能改自己的密码
heiye@server:~$ passwd
Changing password for heiye.
Current password:
New password:
Retype new password:
passwd: password updated successfully

# 原理：/usr/bin/passwd 有 SUID 位
ls -l /usr/bin/passwd
# -rwsr-xr-x 1 root root 59976 Jan 1 12:00 /usr/bin/passwd

# passwd 以 root 权限运行 → 能写入 /etc/shadow（root 才能写）
ls -l /etc/shadow
# -rw-r----- 1 root shadow 1024 Jul 1 10:00 /etc/shadow
# heiye 直接写 /etc/shadow 肯定报 Permission denied
# 但通过 passwd 就行——因为是 root 在代劳

# 故障：nginx 报 "403 Forbidden"
# Step 1：检查文件和目录权限
ls -l /var/www/html/index.html
# -rw------- 1 root root 1024 ...    ← nginx 以 www-data 运行，读不了

# Step 2：修权限
chmod 644 /var/www/html/index.html

# 还不行？检查目录的 x
ls -ld /var/www/html
# drwx------ 2 root root 4096 ...    ← 目录没有 x，nginx 进不去

chmod 755 /var/www/html

# 还不行？检查上级目录
ls -ld /var/www
ls -ld /var
# 每一级目录都要有 x 权限，才能一路访问到目标文件

# 常见要求：目录 755，文件 644，所有者为 www-data
chown -R www-data:www-data /var/www/myapp/
find /var/www/myapp -type d -exec chmod 755 {} \;
find /var/www/myapp -type f -exec chmod 644 {} \;

# 如果某些子目录需要写权限（上传目录等）
chmod 775 /var/www/myapp/uploads/

# 查看 ACL（带 ACL 的文件，ls -l 权限位末尾会多一个 + 号）
getfacl report.xlsx

# 给用户 alice 单独授予读写（不动其他人的权限）
setfacl -m u:alice:rw report.xlsx

# 给组 auditors 授予只读
setfacl -m g:auditors:r report.xlsx

# 递归给目录设 ACL，并设「默认 ACL」——之后目录里新建的文件自动继承
setfacl -R -m  u:alice:rwX /data/shared
setfacl -R -m d:u:alice:rwX /data/shared    # d: = default，只对将来新建的文件生效

# 删除某一条 ACL / 清空全部 ACL
setfacl -x u:alice report.xlsx
setfacl -b report.xlsx

# 查看文件被赋予的 capabilities
getcap /usr/bin/ping
# /usr/bin/ping cap_net_raw=ep     ← ping 只需要发原始包的能力，并不需要整个 root

# 经典场景：让非 root 程序绑定 80/443 等特权端口（原本需要 root 或 SUID）
setcap 'cap_net_bind_service=+ep' /opt/myapp/bin/server
# 之后普通用户跑 server 也能监听 80 端口，而它并不具备任何其它 root 权限

# 去掉文件上的 capabilities
setcap -r /opt/myapp/bin/server

# 查看某进程 / 自己当前拥有的 capabilities（需要 libcap 工具包）
getpcaps $$
capsh --print