本文介绍Linux下的文件权限 操作系统为RHEL7.2_X86_64
可以从以下三种访问方式限制访问权限：
1 只允许用户自己访问
2 允许一个预先指定的用户组中的用户访问
3 允许系统中的任何用户访问
文件的所属用户或者root用户可以将这些权限改变为任何他想指定的权限。
一个只有读权限的文件，是禁止进行任何修改的。
只有执行权限的，允许它想一个程序一样执行。
查看权限
我们之前已经很多次用到 ls命令了，如你所见，我们用它来列出并显示当前目录下的文件，当然这是在不带任何参数的情况下，它能做的当然不止这么多，现在我们就要用它来查看文件权限。
[root@VM_200_13_centos ~]# ls -l
total 8
drwxr-xr-x 2 root root 4096 Aug 14 11:37 auth
-rw-r--r-- 1 root root 7 Aug 14 11:34 auth.txt
文件类型
基本权限
| 基本权限 | 说明 |
|---|---|
| r | 对文件而言，具有读取文件内容的权限 对目录来说，具有浏览目录的权限 |
| w | 对文件而言，具有新增、修改文件内容的权限 对目录来说，具有删除、移动目录内文件的权限 |
| x | 对文件而言，具有执行文件的权限 对目录了来说该用户具有进入目录的权限 |
| - | 表示不具有该项权限 |
举例说明：
| 例子 | 说明 |
|---|---|
| -rwx------ | 文件所有者对文件具有读取、写入和执行的权限 |
| -rwxr--r-- | 文件所有者具有读、写与执行的权限 其他用户则具有读取的权限 |
| -rw-rw-r-x | 文件所有者与同组用户具有读写权限 其他用户具有读取和执行权限 |
| drwx--x--x | 目录所有者具有浏览目录修改（删除、移动）目录和进入目录的权限 同组用户和其他用户具有进入目录的权限 |
| drwx------ | 除了目录所有者具有完整的权限之外 其他用户对该目录完全没有任何权限 |
特殊权限
其实文件与目录设置不止这些，还有所谓的特殊权限。由于特殊权限会拥有一些“特权”。
因而用户若无特殊需求，不应该启用这些权限，避免安全方面出现严重漏洞，造成入侵，甚至摧毁系统!
s
SUID
SUID（Set UID）当一个可以执行文件具有SUID权限，用户执行这个程序时，将以这个程序的所有者身份执行。
在设置s权限时文件属主必须先设置相应的x权限，否则s权限并不能正真生效。
chmod命令不进行必要的完整性检查，即使不设置x权限就设置s权限，chmod也不会报错，当我们ls -l时看到rwS，大写S说明s权限未生效。
Linux修改密码的passwd便是个设置了SUID的程序，普通用户无读写/etc/shadow文件的权限确可以修改自己的密码。
可执行的文件搭配这个权限，便能得到特权，任意存取该文件的所有者能使用的全部系统资源。
请注意具备SUID权限的文件，骇客经常利用这种权限，以SUID配上root帐号拥有者，无声无息地在系统中开扇后门，供日后进出使用
[root@VM_200_13_centos ~]# su - test
Last login: Sun Aug 14 19:05:04 CST 2016 on pts/0
[test@VM_200_13_centos ~]$ which passwd
/bin/passwd
[test@VM_200_13_centos ~]$ ll /bin/passwd
-rwsr-xr-x. 1 root root 27832 Jun 10 2014 /bin/passwd
该文件的所属用户和所属用户组均为root，显然test用户不具有该执行文件的读写执行权限
但是该文件被赋予了SUID权限，任意执行该执行文件的用户都能以该文件所属用户（root用户）的身份执行该文件
[test@VM_200_13_centos ~]$ passwd
Changing password for user test.
Changing password for test.
(current) UNIX password:
New password:
Retype new password:
passwd: all authentication tokens updated successfully.
因为具有SUID权限所有普通用户执行该命令能修改密码
SGID
设置在文件上面，其效果与SUID相同，只不过将文件所有者换成用户组，该文件就可以任意存取整个用户组所能使用的系统资源。
强调: SUID一般用在文件上(脚本) SGID用在目录上比较多
t
t权限代表SBIT（Sticky）：只针对目录有效,对文件无效,作用是防止别人删除掉对方的资料
因为SUID、SGID、Sticky占用x的位置来表示，所以在表示上会有大小写之分。
加入同时开启执行权限和SUID、SGID、Sticky，则权限表示字符是小写的
如果不具有x权限，会以大写显示
[root@VM_200_13_centos ~]# mkdir test
[root@VM_200_13_centos ~]# ll
total 4
drwxr-xr-x 2 root root 4096 Aug 14 19:59 test
[root@VM_200_13_centos ~]# chmod u+s test/
[root@VM_200_13_centos ~]# ll
total 4
drwsr-xr-x 2 root root 4096 Aug 14 19:59 test
[root@VM_200_13_centos ~]# chmod u-x test/
[root@VM_200_13_centos ~]# ll
total 4
drwSr-xr-x 2 root root 4096 Aug 14 19:59 test
[root@VM_200_13_centos ~]# chmod g+s test/
[root@VM_200_13_centos ~]# ll
total 4
drwSr-sr-x 2 root root 4096 Aug 14 19:59 test
[root@VM_200_13_centos ~]# chmod g-x test/
[root@VM_200_13_centos ~]# ll
total 4
drwSr-Sr-x 2 root root 4096 Aug 14 19:59 test
[root@VM_200_13_centos ~]# chmod o+t test/
[root@VM_200_13_centos ~]# ll
total 4
drwSr-Sr-t 2 root root 4096 Aug 14 19:59 test
[root@VM_200_13_centos ~]# chmod o-x test/
[root@VM_200_13_centos ~]# ll
total 4
drwSr-Sr-T 2 root root 4096 Aug 14 19:59 test
修改权限
chmod
命令：chmod
作用：修改文件的权限
语法：chmod [选项] MODE 文件...
| 选项 | 说明 |
|---|---|
| -c | 只输出成功修改权限的文件权限更改信息 |
| -f | 忽略大部分的错误信息 |
| -v | 输出详细信息 |
| -R | 递归更改目录和文件的权限 |
-rwxrwxrwx
-rwxrwxrwx的第一个字符表示这是一个普通文件，之后每三个字符分别代表的是用户权限、用户组权限、其他用户权限
用户权限用u表示
用户组权限用g表示
其他用户权限用o表示
那么chmod命令的MODE第一种方式可以为指定用户或用户组或其他用户授权
u+x：表示授予用户对该文件的可执行权限
g+r:表示授予用户组对该文件的可读权限
o-w:表示取消其他用户对该文件的写权限
[root@VM_200_13_centos ~]# ll
total 4
drwsr-Sr-T 2 root root 4096 Aug 14 19:59 test
[root@VM_200_13_centos ~]# chmod u-x test/
[root@VM_200_13_centos ~]# chmod g+w test/
[root@VM_200_13_centos ~]# chmod o+w test/
[root@VM_200_13_centos ~]# ll
total 4
drwSrwSrwT 2 root root 4096 Aug 14 19:59 test
如果要为文件设置多个用户权限（用户权限、用户组用户权限、其他用户权限）这种方式就很麻烦，需要多次设置
这种情况使用权限的二进制数表达形式设置会非常效率
| 权限 | 二进制 | 十进制 |
|---|---|---|
| r | 100 | 4 |
| w | 10 | 2 |
| x | 1 | 1 |
| s | SUID：100 SGID：10 |
SUID：4 SGID：2 |
| t | 1 | 1 |
| - | 0 | 0 |
对于 -rwxrwxrwx 除去第一位表示文件类型外
rwxrwxrwx每三位为一组用二进制表示：111 111 111
rwxrwxrwx每三位为一组用十进制表示：7 7 7
最终我们使用计算出的十进制数为文件进行授权
[root@VM_200_13_centos ~]# ll
total 0
-rw-r--r-- 1 root root 0 Aug 14 20:41 a
[root@VM_200_13_centos ~]# chmod 000 a
[root@VM_200_13_centos ~]# ll
total 0
---------- 1 root root 0 Aug 14 20:41 a
| 例子 | 说明 |
|---|---|
| -rwx------ | 二进制：111000000 十进制：700 权限：所属用户具有读写执行，所属用户组用户和其他用户没有任何权限 |
| -rwx---rwx | 二进制：111000111 十进制：707 权限：所属用户和其他用户具有读写执行，所属用户组用户没有任何权限 |
| -rwx--xrwx | 二进制：111001111 十进制：717 权限：所属用户和其他用户具有读写执行，所属用户组用户只有执行权限 |
[root@VM_200_13_centos ~]# chmod 711 a
[root@VM_200_13_centos ~]# ll
total 0
-rwx--x--x 1 root root 0 Aug 14 20:41 a
如果要授予特殊权限SUID（4）、SGIU（2）、SBIT（1）则要使用4位1进制数表示
[root@VM_200_13_centos ~]# ll
total 0
---------- 1 root root 0 Aug 14 20:41 a
[root@VM_200_13_centos ~]# chmod 7000 a
[root@VM_200_13_centos ~]# ll
total 0
---S--S--T 1 root root 0 Aug 14 20:41 a
chown
命令：chown
作用：修改文件拥有者和所属组
语法：chown [选项] [所属用户][:所属用户组] 文件...
| 选项 | 说明 |
|---|---|
| -c | 只输出成功修改权限的文件权限更改信息 |
| -f | 忽略大部分的错误信息 |
| -v | 输出详细信息 |
| -h | 修复符号链接 |
| -R | 递归更改目录和文件的权限 |
| --deference | 作用于符号链接的指向，而不是链接文件本身 |
[root@VM_200_13_centos ~]# ll
total 0
---S--S--T 1 root root 0 Aug 14 20:41 a
[root@VM_200_13_centos ~]# chown test:test a
[root@VM_200_13_centos ~]# ll
total 0
------S--T 1 test test 0 Aug 14 20:41 a
[root@VM_200_13_centos ~]# chown root a
[root@VM_200_13_centos ~]# ll
total 0
------S--T 1 root test 0 Aug 14 20:41 a
[root@VM_200_13_centos ~]# chown :test1 a
[root@VM_200_13_centos ~]# ll
total 0
------S--T 1 root test1 0 Aug 14 20:41 a
[root@VM_200_13_centos ~]# mkdir -p ~/aa/b/c
[root@VM_200_13_centos ~]# touch aa/a
[root@VM_200_13_centos ~]# chown -R -v :test1 aa/
ownership of 'aa/a' retained as root:test1
ownership of 'aa/b/c' retained as root:test1
ownership of 'aa/b' retained as root:test1
ownership of 'aa/' retained as root:test1
默认权限
我们创建文件的默认权限是怎么来的？如何改变这个默认权限呢？
umask设置了用户创建文件的默认权限，它与chmod的效果刚好相反。
umask设置的是权限补码，而chmod设置的是文件权限码。
一般在/etc/profile、宿主目录下的.bash_profile或 .profile中设置了umask的默认值。
umask命令允许你设定文件创建时的缺省模式，对应每一类用户(文件属主、同组用户、其他用户)存在一个相应的umask值中的数字。
对于文件来说，这一数字的最大值分别是6。
系统不允许你在创建一个文本文件时就赋予它执行权限，必须在创建后用chmod命令增加这一权限。
目录则允许设置执行权限，这样针对目录来说，umask中各个数字最大可以到7。
该命令的一般形式为：umask nnn 其中nnn为umask置000 - 777。
我们只要记住umask是从权限中拿走相应的位即可。
如：umask值为022，则默认目录权限为755，默认文件权限为644。
计算方法：
文件默认权限＝666-umask值 666-022=644
目录默认权限＝777-umask 值 777-022=755
举例:创建 一个文件:
umask=033
touch c.txt
那么c.txt的默认文件权限是?
umask掩码为033
666-033=633 结果为：644
文件属性
命令：chattr
作用：可改变存放在ext2、ext3、ext4、xfs、ubifs、reiserfs、jfs等文件系统上的文件或目录属性
语法：chattr [选项] [属性] [-v（版本）] 文件...
| 选项 | 说明 |
|---|---|
| -R | 递归处理，将指定目录下的所有文件及子目录一并处理 |
| -v | <版本编号> 设置文件或目录版本 |
| -V | 显示指令执行过程 |
| + | 开启文件或目录的指定属性 |
| - | 关闭文件或目录的指定属性 |
| = | 指定文件或目录的指定属性 |
| 属性 | 说明 |
|---|---|
| A | 即Atime，告诉系统不要修改对这个文件的最后访问时间 |
| S | 即Sync，一旦应用程序对这个文件执行了写操作 使系统立刻把修改的结果写到磁盘 |
| a | 即Append Only，系统只允许在这个文件之后追加数据 不允许任何进程覆盖或截断这个文件 如果目录具有这个属性，系统将只允许在这个目录下建立和修改文件 而不允许删除任何文件 |
| b | 不更新文件或目录的最后存取时间 |
| c | 将文件或目录压缩后存放 |
| d | 当dump程序执行时，该文件或目录不会被dump备份 |
| D | 检查压缩文件中的错误 |
| i | 即Immutable，系统不允许对这个文件进行任何的修改 如果目录具有这个属性，那么任何的进程只能修改目录之下的文件 不允许建立和删除文件 |
| s | 彻底删除文件，不可恢复，因为是从磁盘上删除 然后用0填充文件所在区域 |
| u | 当一个应用程序请求删除这个文件 系统会保留其数据块以便以后能够恢复删除这个文件 用来防止意外删除文件或目录 |
| t | 文件系统支持尾部合并（tail-merging） |
| X | 可以直接访问压缩文件的内容 |
注意事项：
chattr命令的作用很大，其中一些功能是由Linux内核版本来支持的，不过现在生产绝大部分跑的
linux系统都是2.6以上内核了。
通过chattr命令修改属性能够提高系统的安全性，但是它并不适合所有的目录。
chattr命令不能保护/、/dev、/tmp、/var目录。
lsattr命令是显示chattr命令设置的文件属性。
这两个命令是用来查看和改变文件、目录属性的，与chmod这个命令相比，chmod只是改变文件的读写、执行权限，更底层的属性控制是由chattr来改变的。
应用举例：
用chattr命令防止关键密码文件被修改
[root@VM_200_13_centos ~]# chattr +i /etc/passwd
[root@VM_200_13_centos ~]# lsattr /etc/passwd
----i----------- /etc/passwd
要想修改此文件就要把i属性去掉
[root@VM_200_13_centos ~]# chattr -i /etc/passwd
[root@VM_200_13_centos ~]# lsattr /etc/passwd
---------------- /etc/passwd
让某个文件只能往里面追加数据但不能删除
适用于各种日志文件，还是以密码文件为例
[root@VM_200_13_centos ~]# chattr +a /etc/passwd
[root@VM_200_13_centos ~]# lsattr /etc/passwd
-----a---------- /etc/passwd
[root@VM_200_13_centos ~]# chattr -a /etc/passwd
[root@VM_200_13_centos ~]# lsattr /etc/passwd
---------------- /etc/passwd