Linux系统下权限管理和命令详解

下面对linux系统下的有关权限操作命令进行了梳理总结，并配合简单实例进行说明。linux中除了常见的读（r）、写（w）、执行（x）权限以外，还有其他的一些特殊或隐藏权限，熟练掌握这些权限知识的使用，可以大大提高我们运维工作的效率。

首先，umask是权限码，默认是：0022            

使用命令"umask"就能查询出来

文件默认的权限是666，目录默认的权限是777；
新建文件和目录的权限分别是各自默认权限减去umask权限码值。

即：
新建文件权限，666-022=644；
新建目录权限，777-022=755；

一、chmod、chown、chgrp 命令阐述

1、chmod

chmod命令用来变更文件或目录的权限。在UNIX系统家族里，文件或目录权限的控制分别以读取、写入、执行3种一般权限来区分，另有3种特殊权限可供运用。用户可以使用chmod指令去变更文件与目录的权限，设置方式采用文字或数字代号皆可。符号连接的权限无法变更，如果用户对符号连接修改权限，其改变会作用在被连接的原始文件。

权限范围的表示法如下：

u User，即文件或目录的拥有者；
g Group，即文件或目录的所属群组；
o Other，除了文件或目录拥有者或所属群组之外，其他用户皆属于这个范围；
a All，即全部的用户，包含拥有者，所属群组以及其他用户；
r 读取权限，数字代号为“4”;
w 写入权限，数字代号为“2”；
x 执行或切换权限，数字代号为“1”；
- 不具任何权限，数字代号为“0”；
s 特殊功能说明：变更文件或目录的权限。

语法

chmod(选项)(参数)

选项

-c或——changes：效果类似“-v”参数，但仅回报更改的部分；
-f或--quiet或——silent：不显示错误信息；
-R或——recursive：递归处理，将指令目录下的所有文件及子目录一并处理；
-v或——verbose：显示指令执行过程；
--reference=<参考文件或目录>：把指定文件或目录的所属群组全部设成和参考文件或目录的所属群组相同；
<权限范围>+<权限设置>：开启权限范围的文件或目录的该选项权限设置；
<权限范围>-<权限设置>：关闭权限范围的文件或目录的该选项权限设置；
<权限范围>=<权限设置>：指定权限范围的文件或目录的该选项权限设置；

参数

权限模式：指定文件的权限模式；
文件：要改变权限的文件。　

知识扩展和实例

Linux用 户分为：拥有者、组群(Group)、其他（other），Linux系统中，预设的情況下，系统中所有的帐号与一般身份使用者，以及root的相关信 息， 都是记录在/etc/passwd文件中。每个人的密码则是记录在/etc/shadow文件下。 此外，所有的组群名称记录在/etc/group內！

linux文件的用户权限的分析图

例：rwx　rw-　r--

r=读取属性　　  //值＝4
w=写入属性　　//值＝2
x=执行属性　　//值＝1

chmod u+x,g+w f01　　//为文件f01设置自己可以执行，组员可以写入的权限
chmod u=rwx,g=rw,o=r f01
chmod 764 f01
chmod a+x f01　　//对文件f01的u,g,o都设置可执行属性

文件的属主和属组属性设置

chown user:market f01　　//把文件f01给uesr，添加到market组
ll -d f1  查看目录f1的属性

2、chown

chown命令改变某个文件或目录的所有者和所属的组，该命令可以向某个用户授权，使该用户变成指定文件的所有者或者改变文件所属的组。用户可以是用户或者是用户D，用户组可以是组名或组id。文件名可以使由空格分开的文件列表，在文件名中可以包含通配符。

只有文件主和超级用户才可以便用该命令。

语法

chown(选项)(参数)

选项

-c或——changes：效果类似“-v”参数，但仅回报更改的部分；
-f或--quite或——silent：不显示错误信息；
-h或--no-dereference：只对符号连接的文件作修改，而不更改其他任何相关文件；
-R或——recursive：递归处理，将指定目录下的所有文件及子目录一并处理；
-v或——version：显示指令执行过程；
--dereference：效果和“-h”参数相同；
--help：在线帮助；
--reference=<参考文件或目录>：把指定文件或目录的拥有者与所属群组全部设成和参考文件或目录的拥有者与所属群组相同；
--version：显示版本信息。

参数

用户：组：指定所有者和所属工作组。当省略“：组”，仅改变文件所有者；
文件：指定要改变所有者和工作组的文件列表。支持多个文件和目标，支持shell通配符。

实例

将目录/usr/meng及其下面的所有文件、子目录的文件主改成 liu：

chown -R liu /usr/meng

3、chgrp

chgrp命令用来改变文件或目录所属的用户组。该命令用来改变指定文件所属的用户组。其中，组名可以是用户组的id，也可以是用户组的组名。文件名可以 是由空格分开的要改变属组的文件列表，也可以是由通配符描述的文件集合。如果用户不是该文件的文件主或超级用户(root)，则不能改变该文件的组。

在UNIX系统家族里，文件或目录权限的掌控以拥有者及所属群组来管理。您可以使用chgrp指令去变更文件与目录的所属群组，设置方式采用群组名称或群组识别码皆可。

语法

chgrp(选项)(参数)

选项

-c或——changes：效果类似“-v”参数，但仅回报更改的部分；
-f或--quiet或——silent：不显示错误信息；
-h或--no-dereference：只对符号连接的文件作修改，而不是该其他任何相关文件；
-R或——recursive：递归处理，将指令目录下的所有文件及子目录一并处理；
-v或——verbose：显示指令执行过程；
--reference=<参考文件或目录>：把指定文件或目录的所属群组全部设成和参考文件或目录的所属群组相同；

参数

组：指定新工作名称；
文件：指定要改变所属组的文件列表。多个文件或者目录之间使用空格隔开。

实例

将/usr/meng及其子目录下的所有文件的用户组改为mengxin

chgrp -R mengxin /usr/meng

4、具体命令应用场景和使用方法演示

4.1、chmod 设置数字权限4,2,1，分别对应的是r，w，x，即可读，可写，可执行。 对目录设置权限时，可以加-R递归参数

[root@localhost ~]# touch aaa.txt
[root@localhost ~]# touch bbb.txt
[root@localhost ~]# mkdir eason
[root@localhost ~]# ll
total 40
-rw-r--r--  1 root root     0 Feb 27 15:18 aaa.txt
-rw-r--r--  1 root root     0 Feb 27 15:18 bbb.txt
drwxr-xr-x  2 root root  4096 Feb 27 15:20 eason
[root@localhost ~]# chmod 755 aaa.txt
[root@localhost ~]# ll aaa.txt
-rwxr-xr-x 1 root root 0 Feb 27 15:18 aaa.txt
[root@localhost ~]# chmod 700 bbb.txt
[root@localhost ~]# ll bbb.txt
-rwx------ 1 root root 0 Feb 27 15:18 bbb.txt
[root@localhost ~]# touch eason/ccc.txt
[root@localhost ~]# chmod -R 755 eason/
[root@localhost ~]# ll eason/ccc.txt
-rwxr-xr-x 1 root root 0 Feb 27 15:21 eason/ccc.txt

4.2、chown、chgrp

chown 设置字符权限，默认表示所属者权限
chgrp 表示所属组权限　

[root@localhost ~]# chown zhangsan aaa.txt
[root@localhost ~]# ll aaa.txt
total 40
-rwxr-xr-x  1 zhangsan root     0 Feb 27 15:18 aaa.txt
[root@localhost ~]# chgrp eason aaa.txt
[root@localhost ~]# ll aaa.txt
-rwxr-xr-x 1 zhangsan eason 0 Feb 27 15:18 aaa.txt
也可以直接使用chown 设置用户和用户组权限
[root@localhost ~]# chown eason:eason bbb.txt  或者 {chown eason.eason bbb.txt}
[root@localhost ~]# ll bbb.txt
-rwx------ 1 eason eason 0 Feb 27 15:18 bbb.txt

4.3、root账号在普通用户家目录下创建的文件，默认该文件的所有者和所属组权限是root。

1）此普通用户不能使用echo命令覆盖和追加文件。
2）但是该用户对此文件有有直接vim编辑的权限，并且编辑后，文件的所有者和所属组权限就变成普通用户的了。

[root@localhost ~]# cd /home/
[root@localhost home]# ls
eason  zhangsan
[root@localhost home]# cd eason/
[root@localhost eason]# touch ddd.txt
[root@localhost eason]# ll
total 0
-rw-r--r-- 1 root root 0 Feb 27 15:43 ddd.txt
[root@localhost eason]# vim ddd.txt
[root@localhost eason]# cat ddd.txt
test!!!123456
[root@localhost eason]# su eason
[eason@localhost ~]$ echo "eason">>ddd.txt
bash: ddd.txt: Permission denied
[eason@localhost ~]$ echo "eason">ddd.txt
bash: ddd.txt: Permission denied
[eason@localhost ~]$ vim ddd.txt
[eason@localhost ~]$ cat ddd.txt
test!!!123456   789000
[eason@localhost ~]$ ll ddd.txt
-rw-r--r-- 1 eason eason 23 Feb 27 15:46 ddd.txt   \\644权限，eason用户可写可读

二、chattr、lsattr  命令阐述

1、chattr 隐藏权限，这个很重要！通常用于锁定文件，锁定文件在参数前使用 “+”、解锁文件在参数前使用 “ - ”；

1.1、chattr命令用来改变文件属性。这项指令可改变存放在ext2文件系统上的文件或目录属性，这些属性共有以下8种模式：

a：让文件或目录仅供附加用途；
b：不更新文件或目录的最后存取时间；
c：将文件或目录压缩后存放；
d：将文件或目录排除在倾倒操作之外；
i：不得任意更动文件或目录；
s：保密性删除文件或目录；
S：即时更新文件或目录；
u：预防意外删除。

语法

chattr(选项)

选项

-R：递归处理，将指令目录下的所有文件及子目录一并处理；
-v<版本编号>：设置文件或目录版本；
-V：显示指令执行过程；
+<属性>：开启文件或目录的该项属性；
-<属性>：关闭文件或目录的该项属性；
=<属性>：指定文件或目录的该项属性。

实例

用chattr命令防止系统中某个关键文件被修改：
chattr +i /etc/fstab
然后试一下rm、mv、rename等命令操作于该文件，都是得到Operation not permitted的结果。
让某个文件只能往里面追加内容，不能删除，一些日志文件适用于这种操作：
chattr +a /data1/user_act.log

有时候你发现用root权限都不能修改某个文件，大部分原因是这个文件曾经使用chattr命令锁定了。
chattr命令的作用很大，其中一些功能是由Linux内核版本来支持的。
通过chattr命令修改属性能够提高系统的安全性，但是它并不适合所有的目录。

chattr命令不能保护/、/dev、/tmp、/var目录。
lsattr命令是显示chattr命令设置的文件属性。
这两个命令是用来查看和改变文件、目录属性的，与chmod这个命令相比，chmod只是改变文件的读写、执行权限，更底层的属性控制是由chattr来改变的。

chattr在使用时一般常用到两个参数：i和a
chattr +i 表示只有查看文件权限，其他诸如删除，修改，更名等权限统统没有！
chattr +a 表示除了查看文件权限外，还可以echo命令(是echo >>，不能echo >覆盖)追加文件内容的权限（不能直接vim进行编辑），其他诸如删除，修改，更名等权限统统没有！

chattr -i或chattr -a 表示删除这个参数权限

2、lsattr命令用于查看文件的第二扩展文件系统属性。

语法

lsattr(选项)(参数)

选项
-E：可显示设备属性的当前值，但这个当前值是从用户设备数据库中获得的，而不是从设备直接获得的。
-D：显示属性的名称，属性的默认值，描述和用户是否可以修改属性值的标志。
-R：递归的操作方式；
-V：显示指令的版本信息；
-a：列出目录中的所有文件，包括隐藏文件。
lsattr经常使用的几个选项-D，-E，-R这三个选项不可以一起使用，它们是互斥的，经常使用的还有-l,-H，使用lsattr时，必须指出具体的设备名，用-l选项指出要显示设备的逻辑名称，否则要用-c，-s，-t等选项唯一的确定某个已存在的设备。

参数

文件：指定显示文件系统属性的文件名。

实例
lsattr -E -l rmt0 -H
lsattr -EO -l rmt

3、实际操作案例一

2.1、参数 a 的使用

[root@localhost /]# touch /data/test.txt
[root@localhost /]# vim /data/test.txt
[root@localhost /]# cat /data/test.txt
1111111111111111111
2222222222222222222
3333333333333333333
[root@localhost /]# chattr +a /data/test.txt
[root@localhost /]# lsattr /data/test.txt
-----a-------e- /data/test.txt                   \\参数a 表示问价已锁定。
[root@localhost /]# echo >> /data/test.txt 444444444444444
[root@localhost /]# cat /data/test.txt
1111111111111111111
2222222222222222222
3333333333333333333
444444444444444
[root@localhost /]# echo > /data/test.txt 55555555555555     \\此处进行echo> 内容覆盖操作，显示失败，也可以测试rm 、mv等命令；
-bash: /data/test.txt: Operation not permitted
[root@localhost /]# chattr -a /data/test.txt
[root@localhost /]# lsattr /data/test.txt
-------------e- /data/test.txt
[root@localhost /]# echo > /data/test.txt 55555555555555
[root@localhost /]# cat /data/test.txt
55555555555555

2.2、参数 i 的使用　　

[root@localhost /]# touch /data/eason.txt
[root@localhost /]# vim /data/eason.txt
[root@localhost /]# cat /data/eason.txt
There is no royal road to learning！
[root@localhost /]# chattr +i /data/eason.txt
[root@localhost /]# lsattr /data/eason.txt
----i--------e- /data/eason.txt
[root@localhost /]# rm /data/eason.txt
rm: remove regular file `/data/eason.txt'? y
rm: cannot remove `/data/eason.txt': Operation not permitted
[root@localhost /]# echo >> /data/eason.txt 111111111111
-bash: /data/eason.txt: Permission denied　　

注：实际工作中安全方面的工作可以将系统的账号信息文件/etc/passwd和密码文件/etc/shadow使用chattr命令锁定（+ai），这样后续就不能添加账号和修改用户密码了。

4、实际操作案例二

"chattr -R +i 目录名" #只能cd切换到该目录下，对该目录下的文件除了查看权限，其他的都不能操作
"chattr -R +a 目录名" #除了cd切换到该目录下，对于该目录下的文件除了查看权限，也只能echo追加内容，其他的也都干不了

注意一点，删除权限："chattr -ai -R 目录名" #表示连同目录下的文件权限都删除了

[root@localhost eason]# chattr -R +i /data/eason
[root@localhost eason]# lsattr /data/eason
----i--------e- /data/eason/1111.txt
----i--------e- /data/eason/2222.txt
[root@localhost eason]# rm -rf /data/eason/1111.txt
rm: cannot remove `/data/eason/1111.txt': Permission denied
[root@localhost eason]# echo >> 11111 /data/eason/1111.txt
-bash: 11111: Permission denied
[root@localhost eason]# chattr -R -i /data/eason
[root@localhost eason]# lsattr /data/eason
-------------e- /data/eason/1111.txt
-------------e- /data/eason/2222.txt
[root@localhost eason]# echo >> 3333.txt /data/eason
[root@localhost eason]# ll
total 4
-rw-r--r-- 1 root root  0 Mar 29 16:50 1111.txt
-rw-r--r-- 1 root root  0 Mar 29 16:50 2222.txt
-rw-r--r-- 1 root root 12 Mar 29 17:04 3333.txt

注意：
如果chattr针对目录设置+i权限，不加-R参数时，那么只针对该目录有效，目录下的文件不受约束！
这种情况下：
目录不能删除，不能更名。
目录下的文件也不能删除，不能更名。文件可以被echo追加、覆盖内容。vim可以任意修改文件内容。　　

[root@localhost /]# ls /data/eason/
111.txt  222.txt
[root@localhost /]# chattr +i /data/eason/
[root@localhost /]# lsattr -R /data/eason/            //可以看出不加-R，目录下的文件没有连带权限
-------------e- /data/eason/222.txt
-------------e- /data/eason/111.txt
[root@localhost /]# rm -rf /data/eason/
rm: cannot remove `/data/eason/222.txt': Permission denied
rm: cannot remove `/data/eason/111.txt': Permission denied
[root@localhost /]# rm -rf /data/eason/111.txt                  //由于上一级目录删除不了，所以文件也删除不了
rm: cannot remove `/data/eason/111.txt': Permission denied
[root@localhost /]# echo "12345678901234567890" > /data/eason/222.txt      //可以修改文件内容
[root@localhost /]# cat /data/eason/222.txt
12345678901234567890
[root@localhost /]# echo "1234567890asdsadsadsa" >> /data/eason/222.txt
[root@localhost /]# cat /data/eason/222.txt
12345678901234567890
1234567890asdsadsadsa
[root@localhost /]# vim /data/eason/111.txt                        //vim 可以随意编辑
[root@localhost /]# cat /data/eason/111.txt
dadsad
[root@localhost /]# mv /data/eason/111.txt /data/eason/333.txt         //由于上一级目录被锁定不能更名，所以目录下的文件也不能更名
mv: cannot move `/data/eason/111.txt' to `/data/eason/333.txt': Permission denied

如果chattr针对目录设置+a权限，不加-R参数时，那么只针对该目录有效，目录下的文件不受约束！
此种情形下：
a.目录不能删除，不能更名。
b.目录下的文件也不能删除，不能更名。文件可以被echo追加、覆盖内容。但是！但是不能使用vim编辑内容。

　　

　　

---------------------------------------------书山有路勤为径，学海无涯苦作舟--------------------------------------------------------