ACL 与特殊权限¶

# 查看内核挂载时是否启用了 ACL
dmesg | grep -i acl
# 输出示例：SGI XFS with ACLs...

# 或查看挂载选项（ext4）
tune2fs -l /dev/sda1 | grep "Default mount options"

# 查看单个文件的 ACL
getfacl file.txt

# 递归查看目录
getfacl -R /srv/project/

$ getfacl acl_test1
# file: acl_test1          # 文件名
# owner: root              # 文件拥有者（对应 ls -l 第三列）
# group: root              # 文件所属组（对应 ls -l 第四列）
user::rwx                  # 空用户名 → 文件拥有者（root）的权限
user:vbird1:r-x            # 针对 vbird1 单独设置的权限
group::r--                 # 文件所属组的权限
group:mygroup1:r-x         # 针对 mygroup1 单独设置的权限
mask::r-x                  # 有效权限上限（见下方说明）
other::r--                 # 其他人的权限

-rwxr-xr--+ 1 root root 0 Jul 21 17:33 acl_test1
#          ↑ 有 + 说明此文件带有 ACL 条目

# 为 alice 设置 rwx
setfacl -m u:alice:rwx file.txt

# 为 bob 设置只读
setfacl -m u:bob:r-- file.txt

# 明确拒绝（权限字段用 - 而非留空）
setfacl -m u:eve:- file.txt

# 空用户名代表文件拥有者本身
setfacl -m u::rwx file.txt

# 为 devteam 组设置 rw
setfacl -m g:devteam:rw file.txt

# 让 alice 在 /srv/project 下新建的所有文件都默认有 rx 权限
setfacl -m d:u:alice:rx /srv/project/

# -d 和 -m 可以合并写，效果相同
setfacl -d -m u:alice:rx /srv/project/

default:user::rwx
default:user:alice:r-x    # 继承规则
default:group::rwx
default:mask::rwx
default:other::---

# 删除 alice 的 ACL 条目（不加权限字段）
setfacl -x u:alice file.txt

# 删除 alice 的默认 ACL 条目
setfacl -x d:u:alice /srv/project/

# 删除所有 ACL 条目，恢复传统权限
setfacl -b file.txt

# 仅删除所有默认 ACL
setfacl -k /srv/project/

# 递归设置目录下所有文件
setfacl -R -m u:alice:rx /srv/project/

# 从一个目录复制 ACL 到另一个目录
getfacl /srv/dir1 | setfacl --set-file=- /srv/dir2

# 将 mask 压缩为只读，vbird1 的 r-x 中 x 不再生效
setfacl -m m:r acl_test1

$ getfacl acl_test1
user::rwx
user:vbird1:r-x   #effective:r--   # 与 mask 取交集后只剩 r
group::r--
mask::r--                          # 上限是 r
other::r--

$ ls -l /usr/bin/passwd
-rwsr-xr-x 1 root root ... /usr/bin/passwd
#    ↑ s 表示 SUID（owner 的 x 位变成了 s）

chmod u+s /path/to/binary    # 符号法
chmod 4755 /path/to/binary   # 数字法（4xxx 前缀表示 SUID）

# 找出系统中所有设置了 SUID 的可执行文件
find / -perm -4000 -type f 2>/dev/null

# 创建共享目录并设置 SGID
chmod g+s /shared/project/
chmod 2775 /shared/project/   # 数字法（2xxx 前缀表示 SGID）

$ ls -ld /shared/project/
drwxrwsr-x 2 root devteam ... /shared/project/
#        ↑ s 表示目录 SGID 已设置

# 现在任何人在此目录下创建的文件，所属组自动变为 devteam

$ ls -ld /tmp
drwxrwxrwt 12 root root 4096 ... /tmp
#         ↑ t 表示 Sticky Bit（others 的 x 位变成了 t）

# 设置 Sticky Bit
chmod o+t /shared/dir/
chmod 1777 /shared/dir/    # 数字法（1xxx 前缀表示 Sticky Bit）

# 设置不可变（immutable）：不能删除、修改、重命名、创建硬链接
chattr +i /etc/resolv.conf

# 设置只追加（append-only）：只能向文件末尾追加，不能覆盖
chattr +a /var/log/app.log

# 查看文件属性
lsattr file.txt
lsattr -R /etc/

# 解除属性
chattr -i /etc/resolv.conf
chattr -a /var/log/app.log

$ lsattr /etc/resolv.conf
----i--------e-- /etc/resolv.conf
#    ↑ i = immutable
#              ↑ e = extent（ext4 默认，通常无需关注）

# 查看文件的所有 user.* xattr（默认只显示 user 命名空间）
getfattr -d filename

# 查看指定属性值
getfattr -n user.comment filename

# 列出所有命名空间的 xattr 键名（-m 指定正则，- 匹配所有）
getfattr --match=- -d filename

# 设置 user 命名空间属性
setfattr -n user.comment -v "reviewed by alice" filename

# 设置版本标记
setfattr -n user.version -v "1.2.0" filename

# 删除属性
setfattr -x user.comment filename

# 查看文件的 SELinux 上下文（security.selinux）
ls -Z filename

# 通过 getfattr 直接读取 security.selinux 原始值
getfattr -n security.selinux filename

# cp 默认不复制 xattr，需加 --preserve=xattr
cp --preserve=xattr src.txt dst.txt

# rsync 归档时保留 xattr
rsync -aX src/ dst/

# tar 归档时保留 xattr（打包与解包均需指定）
tar --xattrs -czf archive.tar.gz files/
tar --xattrs -xzf archive.tar.gz