Linux 权限与属主速查

常用命令

ls -l /path
stat /path
namei -l /path
id
groups
umask
chmod 750 /path
chmod u+x,g-w,o-r /path
chown user:group /path
chgrp group /path
getfacl /path
setfacl -m u:app:rw /path
getcap /usr/bin/ping
setcap cap_net_bind_service=+ep /usr/bin/app
sudo -l

权限位速查

r = 4   读
w = 2   写
x = 1   执行/进入目录
u = 属主
g = 属组
o = 其他
a = 全部

常见组合：

755  rwxr-xr-x   目录、可执行文件
750  rwxr-x---   仅属主和属组
644  rw-r--r--   普通文件
600  rw-------   私钥、敏感配置
700  rwx------   .ssh、私有目录
1777 rwxrwxrwt   公共可写目录（粘滞位）
4755 rwsr-xr-x   SUID 可执行文件
2755 rwxr-sr-x   SGID

场景速查

• 目录能读不能进：缺 x 权限；用 namei -l 逐级检查。
• 文件权限看起来对但打不开：检查 ACL、SELinux、挂载 noexec。
• 服务写不了日志：确认运行用户、目录属主和父目录权限。
• 需要多人共享目录：用属组 + setgid，或 ACL，不要 777。
• 低端口绑定：用 setcap 或 systemd AmbientCapabilities，不要直接 root。

易错点

• chmod -R 777 会放大安全风险；按最小权限分配。
• SUID/SGID 对脚本通常无效，且是提权风险点。
• 粘滞位只阻止删除他人文件，不阻止读取。
• ACL 会覆盖普通权限位的直觉判断，先 getfacl。
• SELinux 拒绝在 ls -l 里看不出来，用 ausearch/ls -Z。
• 修改权限后要确认进程重新打开文件，已打开的 fd 不受影响。

相关命令

• chmod / chown — 权限与属主
• getfacl / setfacl — ACL
• ausearch — SELinux 拒绝