设想下面的工作场景：
普通用户cUser由于误操作执行了“rm /*”,由此引发了一系列故障，cUser畏罪将/home/cUser/.bash_history中的“rm /*”这条记录删除了。调查问题的时候想去/home/cUser/.bash_history这个文件确认该用户的历史操作记录，却没有发现不法操作。（虽然通过别的途径也可以找到）
图001
图001这种情况下cUser是可以任意改变编辑删除.bahs_history文件的。
首先按照图002使用root将.bash_history 的属主和属组改成root
图002
再者按图003将文件的权限改成u=rw,g=r,o=rw。
图003
最后按照图004把文件的扩展属性+a（append only ）【The format of a symbolic mode is +-=[acdeijstuADST].】
这样文件就只能追加而不能删除内容。到此大功告成。想查看更多帮助信息使用命名man chattr。
图004
