1.基本权限UGO
用户的权限可以通俗的理解为：QQ空间的红钻特权、某高仿传奇一刀999999、腾讯视频会员特权…
其实是指： 赋于某个用户或组 能够以何种方式 访问某个文件（图片文件，视频文件，普通文件）
[root@localhost ~]#ls -l /root/1.txt
-rw-r--r--. 1 root root 179 5月 25 14:27 /root/1.txt
我们可以看到文件属性信息中：
首位 - 为文件类型 ，紧接着三位为一组，第一组：rw- 主人的权限，属主 第二组 r-- 属组的权限，第三组 r-- 其他人的权限 **最后一位 ** . 权限的扩展
1 文件链接（第七章文件链接）， root文件的属主， root文件的属组 ，179大小 5月 25 14:27 是文件最后的修改时间，/root/1.txt 是文件的名和路径
-
设置权限 ：
(1)更改权限
更改权限的方法有两种：
使用符号
使用符号：u用户 g组 o其他 r读 w写 x执行 语法： chmod 对象(u/g/o/a)赋值符(+/-/=)权限类型(r/w/x) 文件/目录#首先在tmp目录创建一个file1文件，并编写程序 [root@localhost ~]# cd /tmp [root@localhost ~]# touch file1 [root@localhost tmp]# ll file1 -rw-r--r--. 1 root root 0 4月 13 20:49 file1 # 权限 属主 属组 文件 [root@localhost tmp]#vim file1 echo "hello 2020" read -p "请输入您的姓名：" name echo "哈哈 $name 是大笨蛋" #增加执行权限 [root@localhost tmp]# chmod u+x file1 # 运行测试 [root@localhost tmp]# ./file1 hello 2020 请输入您的姓名：4567 4567 是大笨蛋 #成功 #此时我们去除权限，再次测试 [root@localhost tmp]# chmod u-x file1 [root@localhost tmp]# ./file1 -bash: ./file1: 权限不够 #另外尝试其他的权限命令 [root@localhost tmp]# chmod a=rwx file1 //所有人等于读写执行 [root@localhost tmp]# chmod a=- file1 //所有人没有权限 [root@localhost tmp]# chmod ug=rw,o=r file1 //属主属组等于读写，其他人只读 [root@localhost tmp]# ll file1 //以长模式方式查看文件权限 -rw-rw-r-- 1 alice it 17 10-25 16:45 file1 //显示的结果使用数字 ：4读 2写 1执行
[root@localhost tmp]# chmod 644 file1 [root@localhost tmp]# ll file1 -rw-r--r-- 1 alice it 17 10-25 16:45 file1(2)更改属主、属组
常用的有chown命令，设置一个文件属于谁，属主。
用法：chown 用户名.组名 文件
# 我们先创建一个组名为 yunjisuan的属组 [root@localhost tmp]# groupadd yunjisuan #创建一个名为user100的用户，使其加入yunjisuan组 [root@localhost tmp]# useradd -G yunjisuan user100 #创建一个名为babyjin的用户 [root@localhost tmp]# useradd babyjin # 设置file1 属于 babyjin用户、yunjisuan组 [root@localhost tmp]# chown babyjin.yunjisuan file1 #测试 [root@localhost tmp]# su babyjin [babyjin@localhost tmp]$ ll file1 -rwxr-x---. 1 babyjin yunjisuan 134 7月 27 21:18 file1 #babyjin用户可以对该文件进行读写执行，云计算属组中的用户可以对改文件进行读执行
2.基本权限ACL
- 区别
ACL（access contral list）访问控制列表 文件权限管理： 设置不同用户，不同的基本权限(r、w、x)。对象数量不同。
UGO设置基本权限： 只能一个用户，一个组和其他人
-
语法
[root@localhost /]# setfacl -m u:user100:rwx /tmp/file1 # 命令 设置 用户或组:用户名:权限 文件对象 -
用法
3.特殊权限（了解）
- 用法
-m 修改 modifiy
#首先准备一个名为test.txt的测试文件
[root@localhost ~]# touch /home/test.txt
[root@localhost ~]# ll /home/test.txt
-rw-r--r--. 1 root root 0 7月 28 20:25 /home/test.txt
#创建名为alice和jack的用户
[root@localhost ~]# useradd jack
[root@localhost ~]# useradd alice
#查看一下该文件有哪些ACL权限
[root@localhost ~]# getfacl /home/test.txt
getfacl: Removing leading '/' from absolute path names
# file: home/test.txt
# owner: root
# group: root
user::rw-
group::r--
other::r--
#设置用户alice和jack的权限
[root@localhost ~]# setfacl -m u:jack:- /home/test.txt
[root@localhost ~]# setfacl -m u:alice:rw /home/test.txt
#查看ACL
[root@localhost ~]# getfacl /home/test.txt
#对应解释如下
# file: home/test.txt #文件名
# owner: root #属主:root
# group: root #属组:root
user::rw- #用户：属主：rwx
user:jack:--- #用户：jack：---
user:alice:rw- #用户：alice：rw-
group::r-- #组：属组：r--
mask::rw- #掩码::rw-
other::r-x #other：其他人：r-x
#分别使用jack，alice以及其他用户测试
[root@localhost ~]# su alice
[alice@localhost root]$ cat /home/test.txt
alice可以看和编辑
jack什么也做不了
其他用户可以看和执行
[alice@localhost root]$ vim /home/test.txt
[alice@localhost root]$ ./home/texst.txt
bash: ./home/texst.txt: 权限不够
[alice@localhost root]$ exit
exit
[root@localhost ~]# su jack
[jack@localhost root]$ cd /home/
[jack@localhost home]$ cat test.txt
cat: test.txt: 权限不够
[jack@localhost home]$ vim test.txt
[jack@localhost home]$ ./test.txt
bash: ./test.txt: 权限不够
[jack@localhost home]$ exit
exit
[root@localhost ~]# su kk4real
[kk4real@localhost root]$ cd /home/
[kk4real@localhost home]$ cat test.txt
alice可以看和编辑
jack什么也做不了
其他用户可以看和执行
[kk4real@localhost home]$ vim test.txt
[kk4real@localhost home]$ ./test.txt
./test.txt:行1: alice可以看和编辑: 未找到命令
./test.txt:行2: jack什么也做不了: 未找到命令
./test.txt:行3: 其他用户可以看和执行: 未找到命令
#成功实现使用ACL对不同用户的文件权限的修改。
*查看和删除
-x 删除 remove
-b 删除所有 remove all
#增加jishuzu对text.txt文件读取的权限
[root@localhost ~]# setfacl -m g:jishuzu:r /home/test.txt
#使用在jishuzu内的用户user200测试
[root@localhost ~]# su user200
[user200@localhost root]$ cd /home/
[user200@localhost home]$ cat test.txt
alice可以看和编辑
jack什么也做不了
其他用户可以看和执行
[user200@localhost home]$
#删除技术组的所有权限，删除other的所有权限
[root@localhost ~]# setfacl -x g:jishuzu /home/test.txt
[root@localhost ~]# setfacl -m o::- /home/test.txt
#使用技术组中的user200进行测试
[root@localhost ~]# su user200
[user200@localhost root]$ cat /home/test.txt
cat: /home/test.txt: 权限不够
[user200@localhost root]$ exit
exit
#使用用户kk4real进行测试
[root@localhost ~]# su kk4real
[kk4real@localhost root]$ cat /home/test.txt
cat: /home/test.txt: 权限不够
[kk4real@localhost root]$
#另外可以使用删除用户所有权限的命令
[root@localhost ~]# setfacl -b /home/test.txt
[root@localhost ~]# getfacl /home/test.txt
getfacl: Removing leading '/' from absolute path names
# file: home/test.txt
# owner: root
# group: root
user::rw-
group::r--
other::---
#此时可以看到除了root以外都没有权限了
特殊权限
- 特殊位suid
suid针对文件/程序时，具备临时获得属主的权限。
示例：设置suid，使普通用户通过suid临时提权，查看超管root用户的文件
1.为cat程序添加上suid权限。
[root@localhost ~]# ll /usr/bin/cat
-rwxr-xr-x. 1 root root 54080 8月 20 2019 /usr/bin/cat
[root@localhost ~]# chmod u+s /usr/bin/cat
[root@localhost ~]# ll /usr/bin/cat
-rwsr-xr-x. 1 root root 54080 8月 20 2019 /usr/bin/cat
2.使用普通用户运行cat。暂时获得root权限
[root@localhost ~]# su - alice
[alice@localhost ~]$ cat /root/file1.txt
#结果，普通用户，看到了root的内容。这个行为很危险,请在试验后，将cat的suid权限除去。
[root@localhost ~]# chmod u-s /usr/bin/cat
[root@localhost ~]# ll /usr/bin/cat
- 文件属性chattr
用途：常用于锁定某个文件，拒绝修改。
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-XMViNMvR-1595948137332)(C:\Users\夜话\AppData\Roaming\Typora\typora-user-images\image-20200728223336982.png)]
使用案例：
#1 先创建新文件进行对比。查看默认权限。
[root@localhost ~]# touch file100
[root@localhost ~]# lsattr file100
-------------- file100
#2 加上不能更改，重命名，删除的属性。
[root@localhost ~]# chattr +i file100
#3.查看不同的属性
[root@lcoalhost ~]# lsattr file100
----i--------- file100
#4.尝试删除
[root@localhost ~]# rm -rf file100
rm: cannot remove `file100': Operation not permitted
#5.将属性还原
[root@localhost ~]# chattr -i file100
-
进程掩码umask
新建文件、目录的默认权限会受到umask的影响，umask表示要减掉的权限
#示例1: 在shell进程中创建文件，先查看当前用户的umask权限 [root@localhost ~]# umask 0022 [root@localhost ~]# touch file800 [root@localhost ~]# mkdir dir800 [root@localhost ~]# ll -d dir800 file800 drwxr-xr-x. 2 root root 4096 3月 11 19:40 dir800 -rw-r--r--. 1 root root 0 3月 11 19:40 file800 #示例2：修改shell umask值（临时） [root@localhost ~]# umask 000 [root@localhost ~]# mkdir dir900 [root@localhost ~]# touch file900 [root@localhost ~]# ll -d dir900 file900 drwxrwxrwx. 2 root root 4096 3月 11 19:44 dir900 -rw-rw-rw-. 1 root root 0 3月 11 19:44 file900