Linux 用户与权限管理

博主： admin
发布时间：2026 年 07 月 22 日
46 次浏览
关闭评论
29995字数
分类： Linux 基础

Linux 用户与权限管理

本文合并自：02-用户和组管理.md、1-2-Linux用户与权限管理.md

本文以 CentOS 7 / RHEL 7 为主线，同时标注 CentOS 6 与 Ubuntu / Debian 的差异，系统讲解 Linux 用户与组的分类、四个核心配置文件（/etc/passwd、/etc/shadow、/etc/group、/etc/gshadow）字段含义、用户与组管理命令、su/sudo 身份切换与授权、文件权限体系（chmod/chown/chgrp）、特殊权限（SUID/SGID/Sticky）、ACL 扩展权限、umask 权限掩码、文件隐藏属性（chattr/lsattr），并附环境变量、命令别名、命令历史以及完整的课堂练习（PPP1–PPP17）与参考答案。

本章要点

理解 Linux 三类用户（管理员、系统用户/伪用户、普通用户）及 UID/GID 取值范围，掌握 CentOS 与 Ubuntu 的差异。
掌握 /etc/passwd、/etc/shadow、/etc/group、/etc/gshadow 四个核心配置文件的字段含义。
熟练使用 useradd、usermod、userdel、passwd、chage、id、w、who 等命令管理用户。
熟练使用 groupadd、groupmod、groupdel、gpasswd、groups、newgrp 等命令管理组。
掌握 su 与 sudo 的区别及 /etc/sudoers 授权配置（含以非 root 用户为目标用户的授权）。
理解 rwx 权限、八进制表示、权限判断顺序，能使用 chmod/chown/chgrp 修改权限与所有权。
掌握 SUID、SGID、Sticky 三类特殊权限及 umask 权限掩码的正确计算方式。
掌握 ACL 权限（getfacl/setfacl）与文件隐藏属性（chattr/lsattr）。
了解用户环境变量配置文件、命令历史与命令别名。

一、用户与组的概念分类

1.1 用户分类

Linux 系统中的用户按 UID 范围分为三类：

用户类型	UID 范围	说明
管理员（root）	`0`	UID 必须为 0 且应保持唯一，默认为 `root`，拥有系统最高权限
系统用户（伪用户）	CentOS：`201–999` Ubuntu：`100–999`	默认不允许登录系统，用于给服务提供运行时的身份
普通用户	CentOS：`1000–60000` Ubuntu：`1000–29999`	通过手工或命令创建，默认可以登录系统

注意：Red Hat（RHEL 7）官方文档已建议未来普通用户的起始 UID 使用 5000，以避开可能扩大的系统保留范围。

1.2 UID/GID 取值范围配置文件

CentOS / RHEL：`/etc/login.defs`

UID_MIN         1000
UID_MAX         60000
SYS_UID_MIN     201
SYS_UID_MAX     999

GID_MIN         1000
GID_MAX         60000
SYS_GID_MIN     201
SYS_GID_MAX     999

0–200：系统自带，建议不要修改。
201–999：可作为特殊服务运行时所用身份。
1000–60000：普通用户 UID 取值范围。

Ubuntu：`/etc/adduser.conf`

FIRST_SYSTEM_UID=100
LAST_SYSTEM_UID=999
FIRST_SYSTEM_GID=100
LAST_SYSTEM_GID=999
FIRST_UID=1000
LAST_UID=29999
FIRST_GID=1000
LAST_GID=29999

1.3 组的分类：主组与附加组

主组（初始组、基本组、默认有效组）：即 /etc/passwd 第 4 列记录的 GID。每个用户必须且只能有一个主组，创建文件时文件的属组默认取主组。
附加组（附加组、辅助组）：记录在 /etc/group 第 4 列的成员列表中。一个用户可以同时属于多个附加组，附加组用于访问文件时的组权限匹配。

id 命令输出中的 gid= 是用户的主组（默认有效组），作用于创建文件时的属组；groups= 列出用户所属的全部组，作用于存取文件时的组权限匹配。可通过 newgrp 临时切换有效组。

1.4 用户与组相关配置文件总览

文件	作用
`/etc/passwd`	保存用户基本信息，所有用户可读
`/etc/shadow`	保存用户密码及过期策略，仅 root 可读
`/etc/group`	保存组基本信息
`/etc/gshadow`	保存组密码及组管理员信息
`/etc/default/useradd`	`useradd`/`adduser` 命令创建用户时的默认值
`/etc/login.defs`	用户/组创建时的全局默认规则（UID/GID 范围、密码策略等）
`/etc/skel`	新建用户家目录模板，创建用户时该目录下的文件会被复制到新用户家目录

二、四个核心配置文件字段详解

2.1 /etc/passwd

/etc/passwd 保存用户的基本信息，所有用户可读。以 root 行为例：

root:x:0:0:root:/root:/bin/bash

各字段以 : 分隔，含义如下：

列	示例	含义
1	`root`	用户名
2	`x`	密码占位符，`x` 表示密码存放在 `/etc/shadow`；去掉 `x`（该字段为空）表示该用户无密码
3	`0`	UID，操作系统只识别 UID，不识别用户名
4	`0`	GID，用户所属主组（初始组）的 ID
5	`root`	描述信息（GECOS/注释），可按需修改，也可为空
6	`/root`	家目录
7	`/bin/bash`	默认登录 Shell（设为 `/sbin/nologin` 可禁止登录）

迁移（移动）用户家目录的一般步骤

当用户家目录所在设备空间不足时，可按下述步骤迁移：

预备一个有足够空间的存储设备，并完成挂载。
确保该用户已经登出。
暂时禁用该用户：sudo passwd -l <username>。
把用户的家目录移动（或复制）到新位置。
在 /etc/passwd 中修改对应用户的第 6 列（家目录路径）。
重新启用该用户：sudo passwd -u <username>。

参考操作：

# 1. 创建用户并设置密码
sudo useradd u1
sudo passwd u1

# 2. 禁用（锁定）用户
sudo passwd -l u1

# 3. 创建新家目录并修改属主
sudo mkdir /u1
sudo chown u1:u1 /u1

# 4. 复制原家目录内容（含隐藏文件），以下两种写法均可
sudo cp -a /home/u1/. /u1/           # 复制目录下全部内容（含隐藏文件）
sudo cp -a /home/u1/.[^.]* /u1/      # 仅复制隐藏文件（.bash* 等环境变量文件）

# 5. 修改 /etc/passwd 中 u1 的家目录为 /u1

# 6. 解锁用户
sudo passwd -u u1

# 7. 登录 u1 验证
su - u1

2.2 /etc/shadow

/etc/shadow 保存用户的密码信息与密码有效期策略，只有 root 可读：

root:!:17787:0:99999:7:::

列	含义
1	用户名
2	加密后的真实密码；以 `*` 或 `!` 开头表示不能通过密码登录（登录页面无法登录）；该字段为空表示空密码，登录无需密码
3	上次修改密码的时间（从 1970-01-01 到修改日的天数）
4	修改密码后多少天内不允许再次修改，`0` 表示不限制；该限制只对用户改自己密码生效，`sudo` 和 root 不受限
5	密码有效期，多少天内必须修改密码，`99999` 表示不限制
6	密码过期前提前多少天发出警告
7	密码过期后的宽限期（天数）；为空表示随时可修改密码后正常登录；过期且宽限期也过后，用户无法自行登录，只能联系管理员
8	账号过期天数（自 1970-01-01 起算），多用于收费/授权系统
9	保留字段

更多说明请查看：man 5 shadow

警告：空密码字段意味着任何人都能以该用户身份直接登录，属于严重的安全风险，生产环境严禁使用。需要禁止密码登录时应使用 passwd -l 锁定，而不是清空密码字段。

忘记 root 密码的处理思路

在登录页面进入 GRUB 修改启动参数、进入单用户模式重置密码（需物理/控制台访问权限）。
如果还记得一个具有 sudo 权限的账号密码，可使用：
```
sudo su - root
```
此时需要输入的是当前账号的密码，而非 root 密码。

密码过期后还能登录吗

密码过期后不能再通过密码登录系统，但仍然可以通过其他方式登录/切换，例如 su。

2.3 /etc/group

组名:密码:GID:组成员

列	含义
1	组名
2	密码占位符，`x` 表示密码存放在 `/etc/gshadow`
3	GID
4	属于该组的用户名列表（附加组成员），以逗号分隔

2.4 /etc/gshadow

组名:密码:组管理员:组成员

列	含义
1	组名
2	组密码
3	组管理员
4	组成员

三、用户管理命令

3.1 创建用户：useradd / adduser

useradd a               # 创建用户 a
useradd -g soul a       # 新建用户 a，并指定其主组（初始组）为 soul
adduser a               # 创建用户（CentOS 下与 useradd 无区别）

命令	说明
`useradd <username>`	命令行创建用户
`useradd -g <group> <username>`	创建用户并指定初始组（主组）
`adduser <username>`	不同发行版行为不同，见下

CentOS 与 Ubuntu 的差异：

CentOS：useradd 和 adduser 没有区别（adduser 是 useradd 的符号链接），都会创建用户、家目录和邮箱，但新建用户默认没有密码，需要用 sudo passwd <username> 设置；也可以删除 /etc/shadow 中对应用户的第 2 列，使 su 登录时无需密码（不推荐，见安全警告）。

Ubuntu：adduser 是交互式创建用户脚本，会提示输入密码、注释等信息。

3.2 修改用户密码：passwd

passwd a            # 修改用户 a 的密码
passwd              # 修改当前用户自己的密码
passwd -l a         # 锁定用户 a（临时关闭），等价于在 /etc/shadow 第 2 字段前加 * 或 !
passwd -u a         # 解锁用户 a，等价于去掉 /etc/shadow 第 2 字段的 * 或 !

3.3 修改用户信息：usermod

选项	作用	示例
`-u`	修改 UID（目标 UID 可以不存在）	`sudo usermod -u 1004 u3`
`-g`	修改主组/初始组 GID（该组必须已存在）	`sudo usermod -g 1001 u3`
`-d`	修改家目录（配置与文件会自动处理）	`sudo usermod -d /u1 u3`
`-s`	修改登录 Shell	`sudo usermod -s /sbin/nologin u3`
`-G`	设置附加组（会覆盖原有附加组）	`sudo usermod -G soul a`
`-a -G`（`-aG`）	追加附加组（不覆盖原有组）	`sudo usermod -aG g1,g2,g3 u3`
`-L`	锁定用户密码（用户无法通过密码登录，但仍可通过 SSH 证书等方式登录）	`sudo usermod -L u1`
`-U`	解锁用户密码	`sudo usermod -U u1`
`-e`	设定账号过期日期	`sudo usermod -e "2014-01-01" u1`
`-e ""`	清除账号过期日期	`sudo usermod -e "" u1`
`-l`	修改用户名	`sudo usermod -l <newname> <currentname>`

sudo usermod -u 1004 u3          # 修改 UID
sudo usermod -g 1001 u3          # 修改 GID，该组必须存在
sudo usermod -d /u1 u3           # 修改家目录
sudo usermod -aG g1,g2,g3 u3     # 追加附加组

3.4 删除用户：userdel

userdel a          # 删除用户 a（保留家目录和邮件目录）
userdel -r a       # 删除用户 a，并同时删除家目录和邮件目录（强烈建议使用）

3.5 密码策略：chage

chage 命令用于查看和修改用户密码 aging 策略，对应 /etc/shadow 中的各个字段。

chage -l <username>              # 查看用户密码策略信息
chage -M <天数> <username>       # 设置密码最长有效天数（对应 shadow 第 5 列）
chage -m <天数> <username>       # 设置密码最短修改间隔（对应 shadow 第 4 列）
chage -W <天数> <username>       # 设置密码过期前警告天数（对应 shadow 第 6 列）
chage -I <天数> <username>       # 设置密码过期后宽限天数（对应 shadow 第 7 列）
chage -E <日期> <username>       # 设置账号过期日期（YYYY-MM-DD，对应 shadow 第 8 列）
chage -d <天数> <username>       # 设置上次修改密码的日期（自 1970-01-01 起的天数）

chage -d 0 <username> 可强制用户下次登录时必须修改密码。

3.6 查看用户信息：id

id              # 查看当前登录用户的 UID、GID 及所属组列表
id <username>   # 查看指定用户的信息

3.7 查看在线登录用户：w / who

who             # 列出当前登录系统的用户、终端、登录时间和来源地址
who -b          # 显示系统最近一次启动时间
w               # 列出当前登录用户及其正在执行的命令，并显示系统负载
whoami          # 显示当前有效用户名

who 输出列依次为：用户名、登录终端（tty/pts）、登录时间、来源主机。
w 输出比 who 更详细，附加 IDLE（空闲时间）、JCPU/PCPU（CPU 占用时间）、WHAT（当前执行的命令）等列，首行还会显示系统时间、运行时长和平均负载。

3.8 批量创建与删除用户

配合 shell 循环可以批量完成用户的创建、设置密码与删除：

for i in {1..10}; do useradd u$i; done                            # 批量创建 u1~u10
for i in {1..10}; do echo "123456" | passwd --stdin u$i; done      # 批量设置密码
for i in {1..10}; do userdel -r u$i; done                          # 批量删除并清理家目录

注意：passwd --stdin 是 RHEL / CentOS 版 passwd 的专有选项，Ubuntu / Debian 的 passwd 不支持，需改用 chpasswd：
for i in {1..10}; do echo "u$i:123456" | chpasswd; done

3.9 手工创建用户（不使用 useradd）

直接通过修改配置文件创建用户 bean（UID/GID 均为 1003）：

第一步：在 /etc/passwd 添加一行

bean:x:1003:1003::/home/bean:/bin/bash

第二步：修改 /etc/shadow

复制一个现有普通用户的行，再做对应修改（用户名、密码字段等）。

第三步：在 /etc/group 添加组信息

bean:x:1003:

第四步：在 /etc/gshadow 添加组密码信息

bean:!::

第五步：创建家目录并复制环境变量模板文件

mkdir /home/bean
cp /etc/skel/.bash* /home/bean
chown bean:bean /home/bean -R      # 等价于 chown -R bean:bean /home/bean
chmod 700 /home/bean -R            # 等价于 chmod -R 700 /home/bean

第六步：创建用户邮件文件

touch /var/mail/bean
chown bean:bean /var/mail/bean
chmod 660 /var/mail/bean

四、组管理命令

4.1 groupadd / groupdel / groupmod

sudo groupadd g3               # 创建组 g3
sudo groupdel g3               # 删除组 g3
sudo groupmod -g 1003 a1       # 将组 a1 的 GID 修改为 1003

注意：不能删除一个用户的主组（基本组）。必须先删除该用户，才能删除其主组。

4.2 gpasswd

gpasswd a1                  # 修改组 a1 的密码
sudo gpasswd -a a root      # 将用户 a 加入 root 组
sudo gpasswd -A a root      # 将用户 a 设为 root 组的管理员
sudo gpasswd -A a,b root    # 将 a、b 设为 root 组的管理员
sudo gpasswd -A "" root     # 清空 root 组的管理员
sudo gpasswd -d a root      # 将用户 a 从 root 组中删除
sudo gpasswd -M u1,u2 g1    # 设置 g1 的组成员为 u1、u2（会覆盖原有成员列表）

命令	示例	说明
`groupadd`	`sudo groupadd g3`	创建新组
`groupdel`	`sudo groupdel g3`	删除组，不能删除用户的基本组，需先删除用户
`groupmod -g`	`sudo groupmod -g 1003 a1`	修改组 GID
`gpasswd`	`gpasswd a1`	修改组密码
`gpasswd -a`	`gpasswd -a a root`	将用户 a 加入 root 组
`gpasswd -A`	`gpasswd -A a root`	设置用户 a 为 root 组管理员
`gpasswd -A`	`gpasswd -A a,b root`	设置 a、b 为 root 组管理员
`gpasswd -A ""`	`gpasswd -A "" root`	清空 root 组管理员
`gpasswd -d`	`gpasswd -d a root`	将 a 从 root 组移除
`gpasswd -M`	`gpasswd -M u1,u2 g1`	设置 g1 组成员为 u1、u2（覆盖）
`newgrp`	`newgrp root`	临时切换当前用户的有效组，重新登录后失效

组管理提示：

一个用户可同时属于多个组，但只有 root 有权设置组管理员。

使用 gpasswd -A 添加组管理员会覆盖已有管理员列表；如需追加多个管理员，可手动修改 /etc/gshadow 第 3 列。

组管理员可以添加和删除组员。

组管理员删除另一个组管理员时，只是删除其普通成员身份，对方仍具有管理员权限。

组管理员可以将自己从组中删除。

4.3 groups

groups              # 查看当前用户所属的全部组（第一个为主组）
groups <username>   # 查看指定用户所属的全部组

4.4 newgrp

newgrp root     # 将当前用户临时切换有效组为 root 组，重新登录后失效

若用户不属于目标组，且该组没有设置组密码，则无法通过 newgrp 切换。
若用户已属于目标组，切换时不需要输入密码。
切换有效组后，新建文件的属组即为切换后的组。

五、身份切换：su 与 sudo

5.1 su

su - a     # 完全切换：不继承上一个用户的环境变量，加载目标用户的 profile（sbin 下命令可正常调用路径）
su a       # 不完全切换：继承上一个用户的环境变量
su - root  # 切换到 root（需输入 root 密码）

命令	说明
`su - <user>`	完全切换，不继承上一个用户环境变量
`su <user>`	不完全切换，继承上一个用户环境变量

说明：su a（不完全切换）继承原用户的 PATH 等环境变量；su - a（完全切换）重新加载目标用户的环境变量配置文件。两者对 /sbin、/usr/sbin 下命令的可用性有影响，实际以目标用户 PATH 为准。

5.2 sudo 授权

普通用户默认没有 sudo 授权，因此无法使用 sudo。sudo 只能执行外部命令，并且只能执行 secure_path 变量所保存目录中的命令。

授权流程

切换到 root（或具有修改 /etc/sudoers 权限的用户）：
```
su root
# 或
sudo -i
```
编辑 sudo 配置（推荐使用 visudo，它会进行语法检查）：
```
visudo
# 或
vim /etc/sudoers
```
添加授权规则。

sudo 规则格式

用户名 机器名=(目标用户名:目标组) 命令列表

其中 (目标用户名:目标组) 中的组部分可省略，写作 (目标用户名)。

授权示例

# 给 tom 用户授予完整 sudo 权限
tom ALL=(ALL:ALL) ALL

# 给 tom 用户组授予完整 sudo 权限（% 表示组）
%tom ALL=(ALL:ALL) ALL

# 授权单个命令：soul 用户可以 root 身份执行 ls 和 cat
soul ALL=(root) /bin/ls,/bin/cat

# 部分命令不需要密码，部分需要密码，可以分成多行书写
u2 ALL=(root) NOPASSWD: /bin/cat
u2 ALL=(root) /bin/mkdir

(目标用户名) 不限于 root，也可以指定普通用户，表示只允许以该用户身份执行命令：

# 允许 soul 以 u1 身份执行 ls（需输入 soul 自己的密码）
soul ALL=(u1) /bin/ls

# 允许 soul 以 u1 身份免密执行 cat
soul ALL=(u1) NOPASSWD: /bin/cat

# 允许 u1 以任意用户身份免密执行 fdisk
u1 ALL=(ALL) NOPASSWD: /bin/fdisk

执行时用 -u 指定目标用户，否则默认以 root 身份运行（会因未授权而被拒绝）：

sudo -u u1 ls /home/u1

查看命令的绝对路径可使用 whereis <command>，例如 whereis mkdir。

六、文件权限

6.1 ls -l 解读

使用 ls -l 查看文件权限：

ls -l /tmp/readme.txt
ls -hl /tmp/readme.txt      # -h 以人类可读单位显示大小

-rw-r--r-- 1 root root 4383 2011-03-01 01:37 readme.txt

权限字符串共 10 位：

位	含义
第 1 位	文件类型：`-` 普通文件，`d` 目录，`l` 符号链接，`b` 块设备，`c` 字符设备，`p` 管道，`s` socket
第 2–4 位	所属用户（属主）权限，u
第 5–7 位	所属组权限，g
第 8–10 位	其他用户权限，o

-  rw-       r--       r--
   所属用户u  所属组g    其他人o

u（user）：文件所有者的权限。
g（group）：文件所属组的权限。
o（other）：其他用户的权限。
a（all）：以上三者的总称。

ls -l 其余各列依次为：硬链接数、所属用户、所属组、文件大小（字节）、最后修改时间、文件名。

权限字符的含义

权限	对文件	对目录
`r`（read，4）	读取文件内容	列出目录中的文件列表
`w`（write，2）	修改文件内容	在目录中创建、删除、重命名文件/子目录
`x`（execute，1）	执行文件（文件必须是可执行程序或脚本）	切换（进入 `cd`）该目录

6.2 二进制与八进制权限

权限位可用三位二进制表示，再转为八进制：

二进制	八进制	权限
`000`	`0`	`---`
`001`	`1`	`--x`
`010`	`2`	`-w-`
`011`	`3`	`-wx`
`100`	`4`	`r--`
`101`	`5`	`r-x`
`110`	`6`	`rw-`
`111`	`7`	`rwx`

例如 rwxr-xr-x：

rwx  r-x  r-x
421  401  401
 7    5    5

即八进制 755。

6.3 修改权限：chmod

chmod u+x,g+r,o-r file          # 符号方式增减权限
chmod u=rwx,g=rw,o=r file       # 符号方式设定（赋值）权限，结果为 rwx rw- r--
chmod 755 file                  # 数字（八进制）方式设定权限，结果为 rwx r-x r-x
chmod 755 dirs -R               # 递归修改目录下所有文件权限为 755
chmod -R 755 dirs               # 同上，选项位置可前置
chmod a+x file                  # 给所有身份加执行权限
chmod o= file                   # 清空其他用户的所有权限

6.4 权限判断顺序

先判断是否为文件的所有者；若是，执行所有者（u）权限后结束。
若不是所有者，判断是否属于文件所属组（主组或附加组均可）；若是，执行所属组（g）权限后结束。
若都不是，执行其他人（o）权限。

因为判断到即结束，所以会出现「所有者权限比其他人还小」的情况，例如 chmod 466 file 时，属主反而只能读不能写。

安全提示：公开目录不要随意添加权限，最大权限不要超过 755；给其他用户加 w 权限要谨慎。即使只给了其他用户 3（-wx）权限，别人也可能进入目录修改文件并强制保存（:wq!），从而将文件据为己有（变更所有者）。

6.5 修改所有权：chown / chgrp

修改文件的所有者或所属组需要 root 权限。

sudo chown tom file               # 修改文件所属用户为 tom
sudo chown :tom file              # 修改文件所属组为 tom
sudo chgrp tom file               # 同上，使用 chgrp 修改所属组
sudo chown tom:jack file          # 同时修改所属用户为 tom、所属组为 jack
sudo chown jack.root dirs -R      # 递归修改目录下所有文件的所属用户为 jack、所属组为 root
sudo chown -R jack:root dirs      # 同上，选项前置写法
sudo chgrp -R tom dirs            # 递归修改所属组

chown user.group 与 chown user:group 两种写法均可。

七、特殊权限：SUID / SGID / Sticky

命令	说明
`chmod u+s file`	设置 SUID（SetUID）
`chmod g+s file`	设置 SGID（SetGID，对目录同样有效）
`chmod u-s file`	取消 SUID
`chmod g-s file`	取消 SGID
`chmod o+t dir`	设置 Sticky（粘贴位）
`chmod o-t dir`	取消 Sticky

7.1 对可执行文件设置 SUID / SGID

未设置特权位时，命令运行时采用运行者的身份。
设置特权位后，命令运行时采用的身份不再是运行者，而是命令文件本身的所属者（SUID）或所属组（SGID）。
典型例子：/usr/bin/passwd（普通用户改自己密码需要写 /etc/shadow）、touch。

ls -l /usr/bin/passwd
# -rwsr-xr-x. 1 root root ... /usr/bin/passwd

7.2 对目录设置 SGID

对目录设置组特权位（SGID）后，在该目录下创建的子文件或子目录会自动继承该目录的所属组身份；子目录还会继承 SGID 特权位。

对目录只能设置组特权（SGID），设置 SUID 无实际意义（Linux 忽略目录上的 SUID）。任何用户在设置了 SGID 的目录下创建文件，其所属组都为目录的所属组（root 也不例外）。

实验示例：让 mary 通过 SUID 程序以 tom 身份创建文件

mkdir -p /tmp/test/{tom,mary}
sudo chown tom:tom /tmp/test/tom -R
sudo chown mary:mary /tmp/test/mary -R
sudo chmod 700 /tmp/test/{mary,tom} -R

sudo cp /usr/bin/touch /tmp/test/mary/tomCreate
sudo chown tom:tom /tmp/test/mary/tomCreate
sudo chmod u+x /tmp/test/mary/tomCreate
sudo chmod u+s /tmp/test/mary/tomCreate

# 切换到 mary 执行 SUID 程序
su - mary
/tmp/test/mary/tomCreate /tmp/test/tom/mary.file
# 查看新创建文件的所有者，应为 tom
ls -l /tmp/test/tom/

7.3 粘贴位：Sticky

粘贴位只对目录有效，用于防止其他用户删除文件。设置后，即使目录对其他人可写，也只有文件所有者、目录所有者和 root 才能删除或重命名该目录下的文件。典型应用：/tmp。

chmod o+t dirs      # 给目录设置粘贴位
chmod o-t dirs      # 取消粘贴位

实验示例：

cd /
ls -l /                    # 查看 /tmp 目录的权限（默认为 drwxrwxrwt，带 sticky 位）
touch /tmp/uplooking.txt
chmod 777 /tmp/uplooking.txt
su - u1
rm /tmp/uplooking.txt      # 尝试删除（应失败，因为 /tmp 有 sticky 位）
exit
sudo chmod o-t /tmp
rm /tmp/uplooking.txt      # 再次尝试删除（应成功）
sudo chmod o+t /tmp        # 恢复 sticky 位

7.4 特殊权限的大小写显示

SUID/SGID 显示在所有者/所属组的 x 位上，Sticky 显示在其他人的 x 位上。

若该位原本有 x 权限，特殊权限显示为小写（s、s、t）。
若该位原本没有 x 权限，特殊权限显示为大写（S、S、T）。

八、ACL 扩展权限：getfacl / setfacl

基本权限只能表示所有者、所属组、其他人三类身份。当需要对单个用户或单个组单独设置 rwx 权限时，需要使用 ACL（Access Control List）。

文件系统支持情况（版本差异）：

CentOS 6：新建分区可能需要手动开启 ACL 功能（mount -o acl 或在 /etc/fstab 中添加 acl 挂载选项；ext2/ext3 需显式启用）。
CentOS 7：默认使用 XFS 文件系统，ACL 自动启用，无需手动开启。
不能将带有 ACL 权限的文件拷贝到未启用 ACL 的分区（ACL 会丢失）。

8.1 设置 ACL 权限：setfacl

sudo setfacl -m u:username:rwx /path/filename       # 给指定用户设置 ACL
sudo setfacl -m u:u1:rwx /tmp/1_acl.txt             # 示例：给用户 u1 授予 rwx
sudo setfacl -m u:u1:rwx /testdir                   # 对目录设置
sudo setfacl -mR u:u1:rwx /testdir                  # 递归对目录设置（也可写作 -Rm）
sudo setfacl -Rm u:u1:rwx /testdir                  # 同上
sudo setfacl -m g:groupname:rwx /path/filename      # 给指定组设置 ACL

设置后用 ls -l 查看，权限位末尾会出现 + 号，表示该文件具有 ACL 权限。

8.2 查看 ACL 权限：getfacl

getfacl /tmp/1_acl.txt          # 查看文件的 ACL 权限
getfacl /acl/1_acl.txt

8.3 ACL 判断顺序

完整的权限判断顺序（含 ACL）为：

所有者 -> 命名用户/命名组（ACL 条目） -> 所属组 -> 其他用户

即在传统的「所有者 → 所属组 → 其他用户」顺序中，ACL 的命名用户/命名组条目插在所有者之后、所属组之前进行匹配。

8.4 删除 ACL 权限

setfacl -k dir      # 删除目录的默认（default）ACL 权限
setfacl -b file     # 去除文件上的所有 ACL 属性

8.5 复制时保留 ACL

cp /tmp/1_acl.txt ~/         # 不会保留 ACL 权限
cp -p /tmp/1_acl.txt ~/      # 会保留 ACL 权限（同时保留属主、时间戳等）

九、权限掩码：umask

umask 用于设置创建文件或目录时的默认权限掩码。

用户类型	默认 umask
root（管理员）	`022`
普通用户	`002`

9.1 正确的计算方式

umask 是一个掩码，作用是把默认权限中对应的权限位「去掉」：

实际权限 = 默认权限 AND (NOT umask)

目录的默认权限基数是 777。
文件的默认权限基数是 666，而不是 777，因为新建的普通文件通常不需要执行位，系统不会主动赋予 x。

身份	对象	默认权限	umask	实际权限
root	目录	`777`	`022`	`755`
root	文件	`666`	`022`	`644`
普通用户	目录	`777`	`002`	`775`
普通用户	文件	`666`	`002`	`664`

umask                # 查看当前权限掩码
umask 0077           # 修改当前权限掩码为 0077（仅对当前 shell 进程临时生效）
umask 0222           # 去除写权限
umask 0000           # 不屏蔽任何权限

修改 umask 只影响当前 shell 进程及其子进程，重启终端后失效。要永久生效需写入 ~/.bashrc、~/.bash_profile 或 /etc/profile。

9.2 关于「异或算法」的常见误区

部分讲义把 umask 的计算描述为「默认权限与 umask 做异或（相同为 0，不同为 1）」，其按位演算示例如下：

0777  111 111 111
0002  000 000 010
      111 111 101   = 775

注意：这种理解是不正确的。异或只是在 002、022 这类常见掩码下碰巧得到了相同结果。例如 umask 003 时，文件实际权限应是 666 AND (NOT 003) = 664，而按异或计算会得出错误的 665。

同理，也不要用「777 - umask」做减法：umask 003 时 666 - 003 = 663，同样是错的。

只有用「掩码屏蔽权限位」（默认权限 AND (NOT umask)）来理解才始终正确。

十、文件隐藏属性：chattr / lsattr

命令	说明
`lsattr`	查看当前目录下文件的特殊（隐藏）属性
`lsattr file`	查看指定文件的特殊属性
`chattr +i file`	添加 `i`（immutable）属性：不可修改、不可删除、不可重命名，管理员也不能直接更改
`chattr +a file`	添加 `a`（append only）属性：只能追加内容，不能修改或覆盖
`chattr -i file`	取消 `i` 属性
`chattr -a file`	取消 `a` 属性

lsattr
sudo chattr +i file
sudo chattr +a file
sudo chattr -i file
sudo chattr -a file
sudo chattr +i /tmp/uplooking.txt
sudo chattr -i /tmp/uplooking.txt
sudo chattr +a /tmp/uplooking.txt

如果文件同时有 i 属性，需要先取消 i 才能设置 a 属性。

安全边界说明：chattr +i 可以阻止包括 root 在内的所有用户直接修改或删除文件，但并非绝对不可逆：root（具备 CAP_LINUX_IMMUTABLE 能力）仍可执行 chattr -i 解除后再操作。因此它是「防误操作」手段，不能当作安全边界；解除前请确认业务影响。

实验示例：

touch /tmp/uplooking.txt
chmod 777 /tmp/uplooking.txt
sudo chattr +i /tmp/uplooking.txt
# 尝试用 vim 编辑保存、用 > 和 >> 重定向，观察是否成功（均应失败）
sudo chattr +a /tmp/uplooking.txt    # 因已有 i 属性，此操作会失败
sudo chattr -i /tmp/uplooking.txt
sudo chattr +a /tmp/uplooking.txt    # 现在可以成功
# 用 vim 编辑文件保存（vim 不会提示只读，但保存会失败）
echo "hello world" >> /tmp/uplooking.txt   # 追加写入应该成功
echo "hello world" > /tmp/uplooking.txt    # 覆盖写入应该失败

十一、环境变量、命令别名与命令历史

11.1 查看变量

命令	作用
`env`	显示当前 shell 的环境变量（包含用户环境变量）
`set`	显示当前 shell 的所有变量（含私有变量），按变量名排序
`export`	显示已导出为用户/环境变量的 shell 变量及其属性，按变量名排序

11.2 用户环境变量配置文件

位于用户家目录（/home/<用户名>/ 或 /root/）下：

文件	作用
`~/.bash_history`	记录用户执行过的历史命令；用户退出登录后才会将当前命令历史写入此文件
`~/.bash_logout`	用户退出登录时执行的脚本；需通过 `logout` 或 `exit` 退出才生效
`~/.bash_profile`	用户环境变量的常规设定位置，用户登录时执行
`~/.bashrc`	命令别名的设定位置，每次打开新终端时执行

11.3 全局环境变量配置文件

文件	作用
`/etc/bashrc`	全局 bash 配置（全局别名和函数），影响所有用户
`/etc/profile`	全局环境变量配置，影响所有用户

修改后使其立即生效：

source /etc/profile
# 或
. /etc/profile

11.4 命令历史：history

history                 # 查看当前用户的历史命令
history 10              # 显示最后（最近）10 条历史命令
history -w b.history    # 将当前命令历史写入文件
history -r a.history    # 从文件读取命令历史到历史列表
history -c              # 清除（清空）当前命令历史列表

历史命令调用快捷方式：

符号	作用
`!!`	重复执行上一条命令
`!a`	重复执行最近一条以 `a` 开头的命令
`!100`	重复执行历史记录中第 100 条命令
`!$`	获取上一条命令的最后一个参数（常用于获取路径）

11.5 命令别名：alias

alias                       # 列出当前所有别名
alias ls='ls -l'            # 创建别名（仅当前 shell 生效，重启终端失效）
unalias ls                  # 取消别名

将别名写入 ~/.bashrc 可永久生效：

echo "alias ms='sudo mount 192.168.0.183:/soul /mnt'" >> ~/.bashrc
echo "alias ums='sudo umount /mnt'" >> ~/.bashrc
. ~/.bashrc                 # 重新加载配置使其生效

也可将 set -o vi 等设置加入 ~/.bashrc：

echo "set -o vi" >> ~/.bashrc

11.6 常用 Bash 快捷键

快捷键	作用
`Tab`	第一次补全命令或文件名，按两次列出所有匹配项
`Ctrl + C`	终止（结束）当前任务
`Ctrl + A`	光标跳到行首
`Ctrl + E`	光标跳到行尾
`Ctrl + L`	清屏
`Ctrl + D`	退出当前终端（等同于 `exit`）

十二、练习题与参考答案

PPP1：用户增删改查

题目：创建用户并设置密码，查询用户信息在配置文件中的变化，用该用户登录后再删除。

参考答案：

useradd u1001
passwd u1001
# 查看 /etc/passwd 和 /etc/shadow 中新增的行
grep u1001 /etc/passwd /etc/shadow /etc/group /etc/gshadow
# 用 u1001 在文本控制台（Ctrl+Alt+F2）登录验证
userdel -r u1001

要点：useradd 会同时在 /etc/passwd、/etc/shadow、/etc/group、/etc/gshadow 中新增记录，并创建家目录和邮件文件；userdel -r 会一并清除家目录和邮件文件。

PPP2：批量创建与删除用户

题目：创建 10 个用户 u1 到 u10，统一设置密码 123456，验证后全部删除（含家目录）。

参考答案：

for i in {1..10}; do useradd u$i; done                            # 批量创建
for i in {1..10}; do echo "123456" | passwd --stdin u$i; done      # 批量设置密码
for i in {1..10}; do userdel -r u$i; done                          # 批量删除并清理家目录

passwd --stdin 仅 RHEL / CentOS 可用；Ubuntu / Debian 请改用 chpasswd：
for i in {1..10}; do echo "u$i:123456" | chpasswd; done

PPP3：用户管理综合操作

题目：完成用户的创建、删除、设密码、登录、锁定/解锁、账号过期设置与清除、修改主组、查看信息、改名等一整套操作，并观察每一步的报错信息。

参考答案：

# 1. 创建用户
useradd u1
# 2. 删除用户
userdel -r u1
# 3. 再次创建用户
useradd u1
# 4. 设置密码
sudo passwd u1
# 5. 切换登录
su - u1
# 6. 锁定用户密码
sudo usermod -L u1
# 7. 再次登录查看报错（提示认证失败）
su - u1
# 8. 解锁用户密码
sudo usermod -U u1
# 9. 设置账号过期
sudo usermod -e "2014-01-01" u1
# 10. 登录查看报错（提示账号已过期）
su - u1
# 11. 清除过期信息
sudo usermod -e "" u1
# 12. 修改初始组（主组）
sudo usermod -g <gid> u1
# 13. 查看用户信息
id u1
# 14. 修改用户名
sudo usermod -l <newname> u1
# 15. 用新用户名登录，查看家目录路径

要点：usermod -l 只改用户名，不会自动改家目录名，登录后 pwd 仍是原家目录路径；如需同步需配合 usermod -d。

PPP4：sudo 授权

题目：创建用户 u1、u2，通过 visudo 配置多条授权规则（含指定非 root 目标用户、免密与需密码两类），并逐条验证。

参考答案：

创建用户：

sudo useradd u1
sudo useradd u2

通过 visudo 配置以下规则（将 soul 替换为当前用户名）：

# 以 u1 身份执行 ls（需输入 soul 自己的密码）
soul ALL=(u1) /bin/ls
# 以 u1 身份执行 cat，不需要密码
soul ALL=(u1) NOPASSWD: /bin/cat
# 以 u2 身份执行任意命令
soul ALL=(u2) ALL
# 以 root 身份执行 ifconfig，不需要密码
soul ALL=(root) NOPASSWD: /sbin/ifconfig
# 以 root 身份执行 fdisk，需要密码
soul ALL=(root) /sbin/fdisk
# u1 以 root 身份执行 fdisk，不需要密码
u1   ALL=(root) NOPASSWD: /sbin/fdisk
# u1 以 root 身份执行 mkdir
u1   ALL=(root) /bin/mkdir
# u1 以任意用户身份免密执行 fdisk
u1   ALL=(ALL) NOPASSWD: /bin/fdisk

验证：

# 指定目标用户执行，否则默认以 root 身份运行而被拒绝
sudo -u u1 ls /home/u1
sudo -u u1 cat /home/u1/.bashrc

su - u1
sudo mkdir /test        # 未授权前会失败（提示 u1 is not in the sudoers file）
# 在 sudoers 中添加 u1 ALL=(root) /bin/mkdir，再测试
# 用同样方式测试 rm、cat、useradd 等命令

要点：命令必须写绝对路径（可用 whereis <command> 查询）；sudo 只能执行 secure_path 中的外部命令；务必用 visudo 编辑以获得语法检查。

PPP5：组管理综合操作

题目：创建三个组并删除其中一个，创建两个用户，完成组成员的批量设置、移除，以及组管理员设置，并验证 newgrp 行为。

参考答案：

# 1. 创建三个组
sudo groupadd g1
sudo groupadd g2
sudo groupadd g3
# 2. 删除组 g3
sudo groupdel g3
# 3. 创建用户 u1、u2
sudo useradd u1
sudo useradd u2
# 4. 将 u1、u2 加入 g1（覆盖式设置成员列表）
sudo gpasswd -M u1,u2 g1
# 5. 将 u2 从 g1 删除
sudo gpasswd -d u2 g1
# 6. 将 u1、u2 设为 g1 的管理员
sudo gpasswd -A u1,u2 g1

验证要点：

如果用户不属于某个组，且该组也没有设置密码，该用户无法通过 newgrp 切换到该组。
如果用户已属于某个组，切换到该组时不需要密码。
组管理员可以将其他用户加入或移出组，也可以将自己从组中删除。
不能删除某个用户的主组，必须先删除该用户。

PPP6：移动用户家目录

题目：将用户 u1 的家目录从 /home/u1 迁移到 /u1，并保证用户能正常登录使用。

参考答案（步骤）：

预备一个有足够空间的存储设备并挂载。
确保该用户已经登出。
暂时禁用用户：sudo passwd -l u1。
将家目录移动或复制到新位置。
修改 /etc/passwd 中对应用户的第 6 列。
解锁用户：sudo passwd -u u1。

参考命令：

sudo useradd u1
sudo passwd u1
sudo passwd -l u1
sudo mkdir /u1
sudo chown u1:u1 /u1
sudo cp -a /home/u1/. /u1/         # 或 sudo cp -a /home/u1/.[^.]* /u1/
# 修改 /etc/passwd 中 u1 的家目录为 /u1
sudo passwd -u u1
# 登录 u1 验证
su - u1

要点：必须使用 cp -a（或 -p）保留权限与属主；不要遗漏 .bash* 等隐藏文件；也可直接使用 usermod -d /u1 u1 由命令完成配置修改。

PPP7：无密码登录

题目：用两种方法实现用户无密码即可登录。

参考答案：

修改 /etc/passwd：将对应用户第 2 列的 x 删除（该字段留空）。
修改 /etc/shadow：将对应用户第 2 列的加密密码内容删除（保留冒号分隔符）。

安全警告：空密码意味着任何人都能以该用户身份登录，属于严重安全风险，仅可用于实验环境，生产环境严禁使用。禁止密码登录应使用 passwd -l 锁定。

PPP8：两种方法给用户改名

题目：用两种方法把用户改名。

参考答案：

使用命令：sudo usermod -l <newname> <oldname>。
直接修改配置文件：编辑 /etc/passwd（以及 /etc/shadow、/etc/group、/etc/gshadow 中对应的用户名字段）。

PPP9：文件权限管理（chmod 符号模式）

题目：对文件依次完成删除全部权限、逐类增删 rwx、组合修改、以及最终设置为 rwxr-xr-- 的操作。

参考答案：

# 1. 删除文件所有权限
sudo chmod 000 5_PPP9.txt
# 2. 给所有者添加读权限
sudo chmod u+r 5_PPP9.txt
# 3. 给所有者赋予 rwx
sudo chmod u=rwx 5_PPP9.txt
# 4. 给所属组添加读权限
sudo chmod g+r 5_PPP9.txt
# 5. 给所属组赋予 rwx
sudo chmod g=rwx 5_PPP9.txt
# 6. 给其他用户添加读权限
sudo chmod o+r 5_PPP9.txt
# 7. 给其他用户赋予 rwx
sudo chmod o=rwx 5_PPP9.txt
# 8. 删除其他用户的写权限
sudo chmod o-w 5_PPP9.txt
# 9. 删除其他用户的所有权限
sudo chmod o-r,o-w,o-x 5_PPP9.txt
# 10. 删除所属组写权限，同时删除其他用户所有权限
sudo chmod g-w,o= 5_PPP9.txt
# 11. 设置权限为 rwxr-xr--（两种等价写法）
sudo chmod 754 5_PPP9.txt
sudo chmod u=rwx,g=r-x,o=r-- 5_PPP9.txt

进一步实验：在自己的目录下创建文件，分别设置权限为 600、060、006，尝试用 vim 编辑并保存（含 :wq! 强制保存），观察普通用户与 sudo 下的差异。

要点：权限判断「命中即结束」，所以属主为 0 时即使组和其他人有权限，属主也无法读写；root 与 sudo 不受普通权限位限制。

PPP10：SUID / SGID / Sticky

题目：给二进制可执行文件加 SUID，给文件或目录加 SGID，给目录加 Sticky，并用 ls -l 观察权限位显示。

参考答案：

chmod u+s <filename>     # 给二进制可执行文件加 SUID
chmod g+s <filename>     # 给文件或目录加 SGID
chmod o+t <dirname>      # 给目录加 sticky
ls -l                    # 观察 s/S、t/T 的显示位置与大小写

要点：对应位原本有 x 则显示小写 s/t，无 x 则显示大写 S/T。

PPP11：数字方式设置权限

题目：使用八进制数字方式为文件和目录设置各种权限组合，并说明每种组合的实际效果。

参考答案：

sudo chmod 750 1_test.txt    # 所有者 rwx，属组 r-x，其他无权限
sudo chmod 575 1_test.txt    # 所有者 r-x，属组 rwx，其他 r-x
sudo chmod 770 1_test        # 目录：所有者和属组 rwx，其他无权限
sudo chmod 777 1_test        # 目录：所有人 rwx
sudo chmod 755 1_test.txt    # 所有人可读可执行，只有所有者可修改
sudo chmod 644 1_test        # 目录：所有人可列出内容（无 x 故不能进入），只有所有者可添加

要点：目录缺少 x 时即使有 r 也无法 cd 进入，且无法读取目录内文件的元数据。

PPP12：gid 与 groups 的区别

题目：验证 gid（主组/有效组）作用于创建文件时的属组，groups（全部所属组）作用于访问文件时的权限匹配。

参考答案（步骤）：

创建组 g1、g2 和用户 u1。
将 u1 加入 g1 和 g2，并将 g1 设为默认有效组（主组）。
以 u1 登录并创建文件，ls -l 查看属组，应为 g1。
执行 newgrp g2 切换有效组，再创建文件，对比属组，应为 g2。
验证 groups 对访问的影响：
- 让 u1 只属于 g1。
- root 创建文件 f1，权限 740，属组为 g1，u1 应可读。
- root 创建文件 f2，权限 740，属组为 g2，u1 应不可读。
- 将 u1 加入 g2 后，u1 应能读 f2，同时仍能读 f1。

参考命令：

sudo groupadd g1
sudo groupadd g2
sudo useradd -g g1 u1
sudo gpasswd -a u1 g2
su - u1
touch a.txt && ls -l a.txt      # 属组为 g1
newgrp g2
touch b.txt && ls -l b.txt      # 属组为 g2

结论：gid（主组/有效组）决定新建文件的属组；groups（全部所属组，含附加组）决定访问已有文件时能否匹配到组权限。

PPP13：组管理员是否可以不属于该组

题目：验证一个不属于某组的用户能否被设置为该组的管理员。

参考答案（步骤）：

创建组 g1 和用户 u1、u2、u3。
将 u1、u2 加入 g1。
尝试将不属于 g1 的 u3 设为 g1 的管理员，观察结果。

sudo groupadd g1
sudo useradd u1; sudo useradd u2; sudo useradd u3
sudo gpasswd -M u1,u2 g1
sudo gpasswd -A u3 g1
grep g1 /etc/gshadow

结论：gpasswd -A 可以把不属于该组的用户写入 /etc/gshadow 的管理员字段，即组管理员不必是该组成员；该用户随后即可对该组执行 gpasswd -a/-d 操作。同时注意 gpasswd -A 会覆盖原有管理员列表，如需保留多个管理员应直接编辑 /etc/gshadow。

PPP14：体验 SUID 和 SGID

题目：通过给 /bin/cat 临时加 SUID/SGID，体会特权位对身份的影响，并在测试后恢复原始权限。

参考答案（步骤）：

用普通用户读取一个只有 root 可读的文件（如 /etc/shadow），观察结果（Permission denied）。
用 root 给 /bin/cat 加上 SUID 位，再次用普通用户读取，观察结果（可以读取成功）。

sudo chmod u+s /bin/cat
su - u1
cat /etc/shadow
exit

恢复 /bin/cat 的权限：

sudo chmod u-s /bin/cat

类似地，给 /bin/cat 加 SGID 位并配合文件属组权限进行测试：

sudo chmod g+s /bin/cat
# 准备一个属组为特定组、组权限可读而其他人不可读的文件，用普通用户读取验证
sudo chmod g-s /bin/cat

测试完毕后务必恢复原始权限。

安全警告：给 cat、vim、find 等通用命令加 SUID 等同于把 root 权限暴露给所有用户，仅可在实验环境短暂验证，验证后立即恢复。

PPP15：umask 实验

题目：查看当前 umask，分别在默认掩码、0222、0000 三种情况下新建文件和目录，验证实际权限是否符合「默认权限 AND (NOT umask)」。

参考答案：

# 1. 查看当前 umask，创建文件和目录查看默认权限
umask
touch file1
mkdir dir1
ls -l file1 dir1
# 普通用户默认 umask 002：文件 664，目录 775
# root 默认 umask 022：文件 644，目录 755

# 2. 修改 umask 为 0222 以去除写权限
umask 0222
touch file2
mkdir dir2
ls -l file2 dir2
# 文件 444，目录 555

# 3. 修改 umask 为 0000（不屏蔽任何权限）
umask 0000
touch file3
mkdir dir3
ls -l file3 dir3
# 目录 777，文件 666
# 文件不会有执行权限，因为 touch 创建文件时默认不包含执行位（基数为 666）

要点：不要用异或或减法计算 umask，见「九、权限掩码：umask」中的误区说明。

PPP16：用 strace 验证 touch 和 mkdir 的创建权限

题目：用 strace 追踪 touch 和 mkdir 的系统调用，验证它们请求的创建权限基数分别是 0666 和 0777。

参考答案：

# 追踪 touch 的系统调用，输出重定向到文件（strace 输出在标准错误）
strace touch file1 2> /tmp/strace.log
# 在日志中查找 open/openat/creat 调用的 mode 参数，应为 0666
vim /tmp/strace.log

# 追踪 mkdir
strace mkdir dir1 2> /tmp/strace.log
# 在日志中查找 mkdir 调用的 mode 参数，应为 0777
vim /tmp/strace.log

追踪正在运行的进程（假设 PID 为 2651）：

strace -p 2651 2> /tmp/trace

结论：内核最终权限 = 程序请求的 mode AND (NOT umask)，这解释了为什么文件基数是 666、目录基数是 777。

PPP17：ACL 权限

题目：创建权限为 775 的 /acl 目录，在其中创建权限为 770 的文件，给不属于该文件属主/属组的用户 u1 授予 rwx 的 ACL 权限，并验证 u1 能否修改文件。

参考答案：

# 1. 在根目录创建权限为 775 的 acl 目录
sudo mkdir /acl
sudo chmod 775 /acl
# 2. 在其中创建权限为 770 的文件
sudo touch /acl/1_acl.txt
sudo chmod 770 /acl/1_acl.txt
# 3. 给 u1 添加 rwx 的 ACL 权限
sudo setfacl -m u:u1:rwx /acl/1_acl.txt
# 4. 查看 ACL 与权限位末尾的 + 标记
getfacl /acl/1_acl.txt
ls -l /acl/1_acl.txt
# 5. 切换到 u1 尝试修改文件（应成功）
su - u1
echo "test" >> /acl/1_acl.txt

要点：文件权限 770 使其他用户本无任何权限，ACL 的命名用户条目在「所属组」之前被匹配，因此 u1 获得了 rwx；ls -l 权限位末尾会出现 +。

十三、扩展思考

了解 Linux 高级文件权限体系，掌握以下命令：setfacl、getfacl、chattr、lsattr、getenforce、setenforce。其中 getenforce/setenforce 用于查看和临时切换 SELinux 的强制模式（Enforcing/Permissive/Disabled），SELinux 是在 DAC（自主访问控制）之上的 MAC（强制访问控制）机制。
ls -l 列出的文件信息存放在什么地方？ 存放在文件的 inode（索引节点）中，包括文件类型、权限、链接数、UID、GID、大小、时间戳和数据块指针；文件名不在 inode 中，而在目录项里。
目录也是文件，目录里面存放的是什么内容？目录里文件的数据存放在目录里吗？ 目录的数据块中存放的是「文件名 → inode 号」的映射表（目录项），并不存放文件本身的数据；文件数据存放在各自 inode 指向的数据块中。
文件的 link 数目代表什么？删除文件操作和这个数目有什么关系？当数目减到零时会发生什么？ link 数是指向该 inode 的硬链接（目录项）数量。rm 实际是删除一个目录项并把链接数减 1；当链接数减到 0 且没有进程打开该文件时，inode 与数据块才被真正释放。
获取一个文件的文件名需要什么权限？ 需要对其所在目录有 r 权限（读取目录项）。
获取文件的大小、所有者、时间等元数据信息需要什么权限？ 需要对其所在目录有 x 权限（用于解析路径、读取 inode），仅有 r 只能看到文件名而看不到详细属性。

十四、命令速查表

用户与组

操作	命令
创建用户	`useradd <user>` / `adduser <user>`
创建用户并指定主组	`useradd -g <group> <user>`
设置密码	`passwd <user>`
删除用户	`userdel -r <user>`
切换用户	`su - <user>`
查看用户信息	`id <user>`
查看在线用户	`who` / `w`
修改 UID	`usermod -u <UID> <user>`
修改 GID（主组）	`usermod -g <GID> <user>`
追加附加组	`usermod -aG <group> <user>`
修改家目录	`usermod -d <dir> <user>`
修改登录 Shell	`usermod -s <shell> <user>`
修改用户名	`usermod -l <new> <old>`
锁定用户	`passwd -l <user>` / `usermod -L <user>`
解锁用户	`passwd -u <user>` / `usermod -U <user>`
查看密码策略	`chage -l <user>`
强制下次登录改密码	`chage -d 0 <user>`
创建组	`groupadd <group>`
删除组	`groupdel <group>`
修改组 GID	`groupmod -g <GID> <group>`
添加用户到组	`gpasswd -a <user> <group>`
设置组管理员	`gpasswd -A <user> <group>`
查看所属组	`groups [user]`
临时切换有效组	`newgrp <group>`

权限

操作	命令
修改权限	`chmod 755 <file>`
符号方式修改	`chmod u+x,g+r,o-r <file>`
递归修改权限	`chmod -R 755 <dir>`
修改属主/属组	`chown <user>:<group> <file>`
仅修改属组	`chgrp <group> <file>`
递归修改属主	`chown -R <user>:<group> <dir>`
查看/设置掩码	`umask` / `umask 0022`
设置 SUID	`chmod u+s <file>`
设置 SGID	`chmod g+s <dir>`
设置 Sticky	`chmod o+t <dir>`
设置 ACL	`setfacl -m u:<user>:rwx <file>`
递归设置 ACL	`setfacl -Rm u:<user>:rwx <dir>`
查看 ACL	`getfacl <file>`
清除全部 ACL	`setfacl -b <file>`
设置不可变属性	`chattr +i <file>`
设置只追加属性	`chattr +a <file>`
查看隐藏属性	`lsattr <file>`

十五、注意事项

root 用户的 UID 必须为 0，且系统中应保持唯一。
删除用户建议使用 userdel -r，避免残留家目录和邮件文件。
修改用户家目录前务必备份数据，并确保用户已登出和被锁定。
新建用户默认无密码（CentOS），必须用 passwd 设置后才能登录；切勿用清空 /etc/shadow 密码字段的方式实现免密。
对公共目录授 w 权限需特别谨慎，建议配合 Sticky 位使用；公开目录权限不要超过 755。
sudoers 文件务必使用 visudo 编辑，以避免语法错误导致无法提权；命令须写绝对路径。
usermod -G 会覆盖原有附加组，追加请务必使用 -aG；gpasswd -A/-M 同样是覆盖语义。
不能删除某用户的主组，需先删除该用户。
ACL 权限在跨分区复制时可能丢失，重要文件建议使用 cp -p；CentOS 6 的新分区可能需要手动开启 ACL，CentOS 7 的 XFS 默认已启用。
chattr +i 可以阻止包括 root 在内的所有用户直接修改或删除文件，但并非绝对不可逆：root（具备 CAP_LINUX_IMMUTABLE 权限）仍可执行 chattr -i 解除后再操作，因此它是「防误操作」手段，不能当作安全边界；解除前请确认业务影响。
umask 的正确算法是「默认权限 AND (NOT umask)」，不要用异或或减法。
给 cat、vim 等通用命令加 SUID/SGID 属于极高危操作，实验后必须立即恢复。

最后修改：2026 年 09 月 20 日

如果觉得我的文章对你有用，请随意赞赏

此处评论已关闭

Linux 用户与权限管理

admin • 2026 年 07 月 22 日

<h1>Linux 用户与权限管理</h1>
<blockquote>
<p>本文合并自：02-用户和组管理.md、1-2-Linux用户与权限管理.md</p>
</blockquote>
<p>本文以 CentOS 7 / RHEL 7 为主线，同时标注 CentOS 6 与 Ubuntu / Debian 的差异，系统讲解 Linux 用户与组的分类、四个核心配置文件（<code>/etc/passwd</code>、<code>/etc/shadow</code>、<code>/etc/group</code>、<code>/etc/gshadow</code>）字段含义、用户与组管理命令、<code>su</code>/<code>sudo</code> 身份切换与授权、文件权限体系（<code>chmod</code>/<code>chown</code>/<code>chgrp</code>）、特殊权限（SUID/SGID/Sticky）、ACL 扩展权限、<code>umask</code> 权限掩码、文件隐藏属性（<code>chattr</code>/<code>lsattr</code>），并附环境变量、命令别名、命令历史以及完整的课堂练习（PPP1–PPP17）与参考答案。</p>
<h2>本章要点</h2>
<ul>
<li>理解 Linux 三类用户（管理员、系统用户/伪用户、普通用户）及 UID/GID 取值范围，掌握 CentOS 与 Ubuntu 的差异。</li>
<li>掌握 <code>/etc/passwd</code>、<code>/etc/shadow</code>、<code>/etc/group</code>、<code>/etc/gshadow</code> 四个核心配置文件的字段含义。</li>
<li>熟练使用 <code>useradd</code>、<code>usermod</code>、<code>userdel</code>、<code>passwd</code>、<code>chage</code>、<code>id</code>、<code>w</code>、<code>who</code> 等命令管理用户。</li>
<li>熟练使用 <code>groupadd</code>、<code>groupmod</code>、<code>groupdel</code>、<code>gpasswd</code>、<code>groups</code>、<code>newgrp</code> 等命令管理组。</li>
<li>掌握 <code>su</code> 与 <code>sudo</code> 的区别及 <code>/etc/sudoers</code> 授权配置（含以非 root 用户为目标用户的授权）。</li>
<li>理解 <code>rwx</code> 权限、八进制表示、权限判断顺序，能使用 <code>chmod</code>/<code>chown</code>/<code>chgrp</code> 修改权限与所有权。</li>
<li>掌握 SUID、SGID、Sticky 三类特殊权限及 <code>umask</code> 权限掩码的正确计算方式。</li>
<li>掌握 ACL 权限（<code>getfacl</code>/<code>setfacl</code>）与文件隐藏属性（<code>chattr</code>/<code>lsattr</code>）。</li>
<li>了解用户环境变量配置文件、命令历史与命令别名。</li>
</ul>
<hr />
<h2>一、用户与组的概念分类</h2>
<h3>1.1 用户分类</h3>
<p>Linux 系统中的用户按 UID 范围分为三类：</p>
<table>
<thead>
<tr>
<th>用户类型</th>
<th>UID 范围</th>
<th>说明</th>
</tr>
</thead>
<tbody>
<tr>
<td>管理员（root）</td>
<td><code>0</code></td>
<td>UID 必须为 0 且应保持唯一，默认为 <code>root</code>，拥有系统最高权限</td>
</tr>
<tr>
<td>系统用户（伪用户）</td>
<td>CentOS：<code>201–999</code><br>Ubuntu：<code>100–999</code></td>
<td>默认不允许登录系统，用于给服务提供运行时的身份</td>
</tr>
<tr>
<td>普通用户</td>
<td>CentOS：<code>1000–60000</code><br>Ubuntu：<code>1000–29999</code></td>
<td>通过手工或命令创建，默认可以登录系统</td>
</tr>
</tbody>
</table>
<blockquote>
<p><strong>注意</strong>：Red Hat（RHEL 7）官方文档已建议未来普通用户的起始 UID 使用 <code>5000</code>，以避开可能扩大的系统保留范围。</p>
</blockquote>
<h3>1.2 UID/GID 取值范围配置文件</h3>
<h4>CentOS / RHEL：<code>/etc/login.defs</code></h4>
<pre><code class="language-text">UID_MIN         1000
UID_MAX         60000
SYS_UID_MIN     201
SYS_UID_MAX     999

GID_MIN         1000
GID_MAX         60000
SYS_GID_MIN     201
SYS_GID_MAX     999</code></pre>
<ul>
<li><code>0–200</code>：系统自带，建议不要修改。</li>
<li><code>201–999</code>：可作为特殊服务运行时所用身份。</li>
<li><code>1000–60000</code>：普通用户 UID 取值范围。</li>
</ul>
<h4>Ubuntu：<code>/etc/adduser.conf</code></h4>
<pre><code class="language-text">FIRST_SYSTEM_UID=100
LAST_SYSTEM_UID=999
FIRST_SYSTEM_GID=100
LAST_SYSTEM_GID=999
FIRST_UID=1000
LAST_UID=29999
FIRST_GID=1000
LAST_GID=29999</code></pre>
<h3>1.3 组的分类：主组与附加组</h3>
<ul>
<li><strong>主组（初始组、基本组、默认有效组）</strong>：即 <code>/etc/passwd</code> 第 4 列记录的 GID。每个用户必须且只能有一个主组，创建文件时文件的属组默认取主组。</li>
<li><strong>附加组（附加组、辅助组）</strong>：记录在 <code>/etc/group</code> 第 4 列的成员列表中。一个用户可以同时属于多个附加组，附加组用于访问文件时的组权限匹配。</li>
</ul>
<blockquote>
<p><code>id</code> 命令输出中的 <code>gid=</code> 是用户的主组（默认有效组），作用于创建文件时的属组；<code>groups=</code> 列出用户所属的全部组，作用于存取文件时的组权限匹配。可通过 <code>newgrp</code> 临时切换有效组。</p>
</blockquote>
<h3>1.4 用户与组相关配置文件总览</h3>
<table>
<thead>
<tr>
<th>文件</th>
<th>作用</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>/etc/passwd</code></td>
<td>保存用户基本信息，所有用户可读</td>
</tr>
<tr>
<td><code>/etc/shadow</code></td>
<td>保存用户密码及过期策略，仅 root 可读</td>
</tr>
<tr>
<td><code>/etc/group</code></td>
<td>保存组基本信息</td>
</tr>
<tr>
<td><code>/etc/gshadow</code></td>
<td>保存组密码及组管理员信息</td>
</tr>
<tr>
<td><code>/etc/default/useradd</code></td>
<td><code>useradd</code>/<code>adduser</code> 命令创建用户时的默认值</td>
</tr>
<tr>
<td><code>/etc/login.defs</code></td>
<td>用户/组创建时的全局默认规则（UID/GID 范围、密码策略等）</td>
</tr>
<tr>
<td><code>/etc/skel</code></td>
<td>新建用户家目录模板，创建用户时该目录下的文件会被复制到新用户家目录</td>
</tr>
</tbody>
</table>
<hr />
<h2>二、四个核心配置文件字段详解</h2>
<h3>2.1 /etc/passwd</h3>
<p><code>/etc/passwd</code> 保存用户的基本信息，所有用户可读。以 root 行为例：</p>
<pre><code class="language-text">root:x:0:0:root:/root:/bin/bash</code></pre>
<p>各字段以 <code>:</code> 分隔，含义如下：</p>
<table>
<thead>
<tr>
<th>列</th>
<th>示例</th>
<th>含义</th>
</tr>
</thead>
<tbody>
<tr>
<td>1</td>
<td><code>root</code></td>
<td>用户名</td>
</tr>
<tr>
<td>2</td>
<td><code>x</code></td>
<td>密码占位符，<code>x</code> 表示密码存放在 <code>/etc/shadow</code>；去掉 <code>x</code>（该字段为空）表示该用户无密码</td>
</tr>
<tr>
<td>3</td>
<td><code>0</code></td>
<td>UID，操作系统只识别 UID，不识别用户名</td>
</tr>
<tr>
<td>4</td>
<td><code>0</code></td>
<td>GID，用户所属主组（初始组）的 ID</td>
</tr>
<tr>
<td>5</td>
<td><code>root</code></td>
<td>描述信息（GECOS/注释），可按需修改，也可为空</td>
</tr>
<tr>
<td>6</td>
<td><code>/root</code></td>
<td>家目录</td>
</tr>
<tr>
<td>7</td>
<td><code>/bin/bash</code></td>
<td>默认登录 Shell（设为 <code>/sbin/nologin</code> 可禁止登录）</td>
</tr>
</tbody>
</table>
<h4>迁移（移动）用户家目录的一般步骤</h4>
<p>当用户家目录所在设备空间不足时，可按下述步骤迁移：</p>
<ol>
<li>预备一个有足够空间的存储设备，并完成挂载。</li>
<li>确保该用户已经登出。</li>
<li>暂时禁用该用户：<code>sudo passwd -l &lt;username&gt;</code>。</li>
<li>把用户的家目录移动（或复制）到新位置。</li>
<li>在 <code>/etc/passwd</code> 中修改对应用户的第 6 列（家目录路径）。</li>
<li>重新启用该用户：<code>sudo passwd -u &lt;username&gt;</code>。</li>
</ol>
<p><strong>参考操作</strong>：</p>
<pre><code class="language-bash"># 1. 创建用户并设置密码
sudo useradd u1
sudo passwd u1

# 2. 禁用（锁定）用户
sudo passwd -l u1

# 3. 创建新家目录并修改属主
sudo mkdir /u1
sudo chown u1:u1 /u1

# 4. 复制原家目录内容（含隐藏文件），以下两种写法均可
sudo cp -a /home/u1/. /u1/           # 复制目录下全部内容（含隐藏文件）
sudo cp -a /home/u1/.[^.]* /u1/      # 仅复制隐藏文件（.bash* 等环境变量文件）

# 5. 修改 /etc/passwd 中 u1 的家目录为 /u1

# 6. 解锁用户
sudo passwd -u u1

# 7. 登录 u1 验证
su - u1</code></pre>
<h3>2.2 /etc/shadow</h3>
<p><code>/etc/shadow</code> 保存用户的密码信息与密码有效期策略，只有 root 可读：</p>
<pre><code class="language-text">root:!:17787:0:99999:7:::</code></pre>
<table>
<thead>
<tr>
<th>列</th>
<th>含义</th>
</tr>
</thead>
<tbody>
<tr>
<td>1</td>
<td>用户名</td>
</tr>
<tr>
<td>2</td>
<td>加密后的真实密码；以 <code>*</code> 或 <code>!</code> 开头表示不能通过密码登录（登录页面无法登录）；该字段为空表示空密码，登录无需密码</td>
</tr>
<tr>
<td>3</td>
<td>上次修改密码的时间（从 1970-01-01 到修改日的天数）</td>
</tr>
<tr>
<td>4</td>
<td>修改密码后多少天内不允许再次修改，<code>0</code> 表示不限制；该限制只对用户改自己密码生效，<code>sudo</code> 和 root 不受限</td>
</tr>
<tr>
<td>5</td>
<td>密码有效期，多少天内必须修改密码，<code>99999</code> 表示不限制</td>
</tr>
<tr>
<td>6</td>
<td>密码过期前提前多少天发出警告</td>
</tr>
<tr>
<td>7</td>
<td>密码过期后的宽限期（天数）；为空表示随时可修改密码后正常登录；过期且宽限期也过后，用户无法自行登录，只能联系管理员</td>
</tr>
<tr>
<td>8</td>
<td>账号过期天数（自 1970-01-01 起算），多用于收费/授权系统</td>
</tr>
<tr>
<td>9</td>
<td>保留字段</td>
</tr>
</tbody>
</table>
<blockquote>
<p>更多说明请查看：<code>man 5 shadow</code></p>
</blockquote>
<blockquote>
<p><strong>警告</strong>：空密码字段意味着任何人都能以该用户身份直接登录，属于严重的安全风险，生产环境严禁使用。需要禁止密码登录时应使用 <code>passwd -l</code> 锁定，而不是清空密码字段。</p>
</blockquote>
<h4>忘记 root 密码的处理思路</h4>
<ol>
<li>
<p>在登录页面进入 GRUB 修改启动参数、进入单用户模式重置密码（需物理/控制台访问权限）。</p>
</li>
<li>
<p>如果还记得一个具有 sudo 权限的账号密码，可使用：</p>
<pre><code class="language-bash">sudo su - root</code></pre>
<p>此时需要输入的是<strong>当前账号</strong>的密码，而非 root 密码。</p>
</li>
</ol>
<h4>密码过期后还能登录吗</h4>
<p>密码过期后不能再通过密码登录系统，但仍然可以通过其他方式登录/切换，例如 <code>su</code>。</p>
<h3>2.3 /etc/group</h3>
<pre><code class="language-text">组名:密码:GID:组成员</code></pre>
<table>
<thead>
<tr>
<th>列</th>
<th>含义</th>
</tr>
</thead>
<tbody>
<tr>
<td>1</td>
<td>组名</td>
</tr>
<tr>
<td>2</td>
<td>密码占位符，<code>x</code> 表示密码存放在 <code>/etc/gshadow</code></td>
</tr>
<tr>
<td>3</td>
<td>GID</td>
</tr>
<tr>
<td>4</td>
<td>属于该组的用户名列表（<strong>附加组成员</strong>），以逗号分隔</td>
</tr>
</tbody>
</table>
<h3>2.4 /etc/gshadow</h3>
<pre><code class="language-text">组名:密码:组管理员:组成员</code></pre>
<table>
<thead>
<tr>
<th>列</th>
<th>含义</th>
</tr>
</thead>
<tbody>
<tr>
<td>1</td>
<td>组名</td>
</tr>
<tr>
<td>2</td>
<td>组密码</td>
</tr>
<tr>
<td>3</td>
<td>组管理员</td>
</tr>
<tr>
<td>4</td>
<td>组成员</td>
</tr>
</tbody>
</table>
<hr />
<h2>三、用户管理命令</h2>
<h3>3.1 创建用户：useradd / adduser</h3>
<pre><code class="language-bash">useradd a               # 创建用户 a
useradd -g soul a       # 新建用户 a，并指定其主组（初始组）为 soul
adduser a               # 创建用户（CentOS 下与 useradd 无区别）</code></pre>
<table>
<thead>
<tr>
<th>命令</th>
<th>说明</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>useradd &lt;username&gt;</code></td>
<td>命令行创建用户</td>
</tr>
<tr>
<td><code>useradd -g &lt;group&gt; &lt;username&gt;</code></td>
<td>创建用户并指定初始组（主组）</td>
</tr>
<tr>
<td><code>adduser &lt;username&gt;</code></td>
<td>不同发行版行为不同，见下</td>
</tr>
</tbody>
</table>
<blockquote>
<p><strong>CentOS 与 Ubuntu 的差异：</strong></p>
<ul>
<li><strong>CentOS</strong>：<code>useradd</code> 和 <code>adduser</code> 没有区别（<code>adduser</code> 是 <code>useradd</code> 的符号链接），都会创建用户、家目录和邮箱，但新建用户默认没有密码，需要用 <code>sudo passwd &lt;username&gt;</code> 设置；也可以删除 <code>/etc/shadow</code> 中对应用户的第 2 列，使 <code>su</code> 登录时无需密码（不推荐，见安全警告）。</li>
<li><strong>Ubuntu</strong>：<code>adduser</code> 是交互式创建用户脚本，会提示输入密码、注释等信息。</li>
</ul>
</blockquote>
<h3>3.2 修改用户密码：passwd</h3>
<pre><code class="language-bash">passwd a            # 修改用户 a 的密码
passwd              # 修改当前用户自己的密码
passwd -l a         # 锁定用户 a（临时关闭），等价于在 /etc/shadow 第 2 字段前加 * 或 !
passwd -u a         # 解锁用户 a，等价于去掉 /etc/shadow 第 2 字段的 * 或 !</code></pre>
<h3>3.3 修改用户信息：usermod</h3>
<table>
<thead>
<tr>
<th>选项</th>
<th>作用</th>
<th>示例</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>-u</code></td>
<td>修改 UID（目标 UID 可以不存在）</td>
<td><code>sudo usermod -u 1004 u3</code></td>
</tr>
<tr>
<td><code>-g</code></td>
<td>修改主组/初始组 GID（该组<strong>必须已存在</strong>）</td>
<td><code>sudo usermod -g 1001 u3</code></td>
</tr>
<tr>
<td><code>-d</code></td>
<td>修改家目录（配置与文件会自动处理）</td>
<td><code>sudo usermod -d /u1 u3</code></td>
</tr>
<tr>
<td><code>-s</code></td>
<td>修改登录 Shell</td>
<td><code>sudo usermod -s /sbin/nologin u3</code></td>
</tr>
<tr>
<td><code>-G</code></td>
<td>设置附加组（<strong>会覆盖</strong>原有附加组）</td>
<td><code>sudo usermod -G soul a</code></td>
</tr>
<tr>
<td><code>-a -G</code>（<code>-aG</code>）</td>
<td>追加附加组（不覆盖原有组）</td>
<td><code>sudo usermod -aG g1,g2,g3 u3</code></td>
</tr>
<tr>
<td><code>-L</code></td>
<td>锁定用户密码（用户无法通过密码登录，但仍可通过 SSH 证书等方式登录）</td>
<td><code>sudo usermod -L u1</code></td>
</tr>
<tr>
<td><code>-U</code></td>
<td>解锁用户密码</td>
<td><code>sudo usermod -U u1</code></td>
</tr>
<tr>
<td><code>-e</code></td>
<td>设定账号过期日期</td>
<td><code>sudo usermod -e "2014-01-01" u1</code></td>
</tr>
<tr>
<td><code>-e ""</code></td>
<td>清除账号过期日期</td>
<td><code>sudo usermod -e "" u1</code></td>
</tr>
<tr>
<td><code>-l</code></td>
<td>修改用户名</td>
<td><code>sudo usermod -l &lt;newname&gt; &lt;currentname&gt;</code></td>
</tr>
</tbody>
</table>
<pre><code class="language-bash">sudo usermod -u 1004 u3          # 修改 UID
sudo usermod -g 1001 u3          # 修改 GID，该组必须存在
sudo usermod -d /u1 u3           # 修改家目录
sudo usermod -aG g1,g2,g3 u3     # 追加附加组</code></pre>
<h3>3.4 删除用户：userdel</h3>
<pre><code class="language-bash">userdel a          # 删除用户 a（保留家目录和邮件目录）
userdel -r a       # 删除用户 a，并同时删除家目录和邮件目录（强烈建议使用）</code></pre>
<h3>3.5 密码策略：chage</h3>
<p><code>chage</code> 命令用于查看和修改用户密码 aging 策略，对应 <code>/etc/shadow</code> 中的各个字段。</p>
<pre><code class="language-bash">chage -l &lt;username&gt;              # 查看用户密码策略信息
chage -M &lt;天数&gt; &lt;username&gt;       # 设置密码最长有效天数（对应 shadow 第 5 列）
chage -m &lt;天数&gt; &lt;username&gt;       # 设置密码最短修改间隔（对应 shadow 第 4 列）
chage -W &lt;天数&gt; &lt;username&gt;       # 设置密码过期前警告天数（对应 shadow 第 6 列）
chage -I &lt;天数&gt; &lt;username&gt;       # 设置密码过期后宽限天数（对应 shadow 第 7 列）
chage -E &lt;日期&gt; &lt;username&gt;       # 设置账号过期日期（YYYY-MM-DD，对应 shadow 第 8 列）
chage -d &lt;天数&gt; &lt;username&gt;       # 设置上次修改密码的日期（自 1970-01-01 起的天数）</code></pre>
<blockquote>
<p><code>chage -d 0 &lt;username&gt;</code> 可强制用户下次登录时必须修改密码。</p>
</blockquote>
<h3>3.6 查看用户信息：id</h3>
<pre><code class="language-bash">id              # 查看当前登录用户的 UID、GID 及所属组列表
id &lt;username&gt;   # 查看指定用户的信息</code></pre>
<h3>3.7 查看在线登录用户：w / who</h3>
<pre><code class="language-bash">who             # 列出当前登录系统的用户、终端、登录时间和来源地址
who -b          # 显示系统最近一次启动时间
w               # 列出当前登录用户及其正在执行的命令，并显示系统负载
whoami          # 显示当前有效用户名</code></pre>
<ul>
<li><code>who</code> 输出列依次为：用户名、登录终端（tty/pts）、登录时间、来源主机。</li>
<li><code>w</code> 输出比 <code>who</code> 更详细，附加 <code>IDLE</code>（空闲时间）、<code>JCPU</code>/<code>PCPU</code>（CPU 占用时间）、<code>WHAT</code>（当前执行的命令）等列，首行还会显示系统时间、运行时长和平均负载。</li>
</ul>
<h3>3.8 批量创建与删除用户</h3>
<p>配合 shell 循环可以批量完成用户的创建、设置密码与删除：</p>
<pre><code class="language-bash">for i in {1..10}; do useradd u$i; done                            # 批量创建 u1~u10
for i in {1..10}; do echo "123456" | passwd --stdin u$i; done      # 批量设置密码
for i in {1..10}; do userdel -r u$i; done                          # 批量删除并清理家目录</code></pre>
<blockquote>
<p><strong>注意</strong>：<code>passwd --stdin</code> 是 RHEL / CentOS 版 <code>passwd</code> 的专有选项，Ubuntu / Debian 的 <code>passwd</code> 不支持，需改用 <code>chpasswd</code>：</p>
<pre><code class="language-bash">for i in {1..10}; do echo "u$i:123456" | chpasswd; done</code></pre>
</blockquote>
<h3>3.9 手工创建用户（不使用 useradd）</h3>
<p>直接通过修改配置文件创建用户 <code>bean</code>（UID/GID 均为 1003）：</p>
<p><strong>第一步：在 <code>/etc/passwd</code> 添加一行</strong></p>
<pre><code class="language-text">bean:x:1003:1003::/home/bean:/bin/bash</code></pre>
<p><strong>第二步：修改 <code>/etc/shadow</code></strong></p>
<p>复制一个现有普通用户的行，再做对应修改（用户名、密码字段等）。</p>
<p><strong>第三步：在 <code>/etc/group</code> 添加组信息</strong></p>
<pre><code class="language-text">bean:x:1003:</code></pre>
<p><strong>第四步：在 <code>/etc/gshadow</code> 添加组密码信息</strong></p>
<pre><code class="language-text">bean:!::</code></pre>
<p><strong>第五步：创建家目录并复制环境变量模板文件</strong></p>
<pre><code class="language-bash">mkdir /home/bean
cp /etc/skel/.bash* /home/bean
chown bean:bean /home/bean -R      # 等价于 chown -R bean:bean /home/bean
chmod 700 /home/bean -R            # 等价于 chmod -R 700 /home/bean</code></pre>
<p><strong>第六步：创建用户邮件文件</strong></p>
<pre><code class="language-bash">touch /var/mail/bean
chown bean:bean /var/mail/bean
chmod 660 /var/mail/bean</code></pre>
<hr />
<h2>四、组管理命令</h2>
<h3>4.1 groupadd / groupdel / groupmod</h3>
<pre><code class="language-bash">sudo groupadd g3               # 创建组 g3
sudo groupdel g3               # 删除组 g3
sudo groupmod -g 1003 a1       # 将组 a1 的 GID 修改为 1003</code></pre>
<blockquote>
<p><strong>注意</strong>：不能删除一个用户的主组（基本组）。必须先删除该用户，才能删除其主组。</p>
</blockquote>
<h3>4.2 gpasswd</h3>
<pre><code class="language-bash">gpasswd a1                  # 修改组 a1 的密码
sudo gpasswd -a a root      # 将用户 a 加入 root 组
sudo gpasswd -A a root      # 将用户 a 设为 root 组的管理员
sudo gpasswd -A a,b root    # 将 a、b 设为 root 组的管理员
sudo gpasswd -A "" root     # 清空 root 组的管理员
sudo gpasswd -d a root      # 将用户 a 从 root 组中删除
sudo gpasswd -M u1,u2 g1    # 设置 g1 的组成员为 u1、u2（会覆盖原有成员列表）</code></pre>
<table>
<thead>
<tr>
<th>命令</th>
<th>示例</th>
<th>说明</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>groupadd</code></td>
<td><code>sudo groupadd g3</code></td>
<td>创建新组</td>
</tr>
<tr>
<td><code>groupdel</code></td>
<td><code>sudo groupdel g3</code></td>
<td>删除组，不能删除用户的基本组，需先删除用户</td>
</tr>
<tr>
<td><code>groupmod -g</code></td>
<td><code>sudo groupmod -g 1003 a1</code></td>
<td>修改组 GID</td>
</tr>
<tr>
<td><code>gpasswd</code></td>
<td><code>gpasswd a1</code></td>
<td>修改组密码</td>
</tr>
<tr>
<td><code>gpasswd -a</code></td>
<td><code>gpasswd -a a root</code></td>
<td>将用户 a 加入 root 组</td>
</tr>
<tr>
<td><code>gpasswd -A</code></td>
<td><code>gpasswd -A a root</code></td>
<td>设置用户 a 为 root 组管理员</td>
</tr>
<tr>
<td><code>gpasswd -A</code></td>
<td><code>gpasswd -A a,b root</code></td>
<td>设置 a、b 为 root 组管理员</td>
</tr>
<tr>
<td><code>gpasswd -A ""</code></td>
<td><code>gpasswd -A "" root</code></td>
<td>清空 root 组管理员</td>
</tr>
<tr>
<td><code>gpasswd -d</code></td>
<td><code>gpasswd -d a root</code></td>
<td>将 a 从 root 组移除</td>
</tr>
<tr>
<td><code>gpasswd -M</code></td>
<td><code>gpasswd -M u1,u2 g1</code></td>
<td>设置 g1 组成员为 u1、u2（覆盖）</td>
</tr>
<tr>
<td><code>newgrp</code></td>
<td><code>newgrp root</code></td>
<td>临时切换当前用户的有效组，重新登录后失效</td>
</tr>
</tbody>
</table>
<blockquote>
<p><strong>组管理提示：</strong></p>
<ul>
<li>一个用户可同时属于多个组，但<strong>只有 root 有权设置组管理员</strong>。</li>
<li>使用 <code>gpasswd -A</code> 添加组管理员会<strong>覆盖</strong>已有管理员列表；如需追加多个管理员，可手动修改 <code>/etc/gshadow</code> 第 3 列。</li>
<li>组管理员可以添加和删除组员。</li>
<li>组管理员删除另一个组管理员时，只是删除其普通成员身份，对方仍具有管理员权限。</li>
<li>组管理员可以将自己从组中删除。</li>
</ul>
</blockquote>
<h3>4.3 groups</h3>
<pre><code class="language-bash">groups              # 查看当前用户所属的全部组（第一个为主组）
groups &lt;username&gt;   # 查看指定用户所属的全部组</code></pre>
<h3>4.4 newgrp</h3>
<pre><code class="language-bash">newgrp root     # 将当前用户临时切换有效组为 root 组，重新登录后失效</code></pre>
<ul>
<li>若用户<strong>不属于</strong>目标组，且该组<strong>没有设置组密码</strong>，则无法通过 <code>newgrp</code> 切换。</li>
<li>若用户<strong>已属于</strong>目标组，切换时不需要输入密码。</li>
<li>切换有效组后，新建文件的属组即为切换后的组。</li>
</ul>
<hr />
<h2>五、身份切换：su 与 sudo</h2>
<h3>5.1 su</h3>
<pre><code class="language-bash">su - a     # 完全切换：不继承上一个用户的环境变量，加载目标用户的 profile（sbin 下命令可正常调用路径）
su a       # 不完全切换：继承上一个用户的环境变量
su - root  # 切换到 root（需输入 root 密码）</code></pre>
<table>
<thead>
<tr>
<th>命令</th>
<th>说明</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>su - &lt;user&gt;</code></td>
<td>完全切换，不继承上一个用户环境变量</td>
</tr>
<tr>
<td><code>su &lt;user&gt;</code></td>
<td>不完全切换，继承上一个用户环境变量</td>
</tr>
</tbody>
</table>
<blockquote>
<p>说明：<code>su a</code>（不完全切换）继承原用户的 <code>PATH</code> 等环境变量；<code>su - a</code>（完全切换）重新加载目标用户的环境变量配置文件。两者对 <code>/sbin</code>、<code>/usr/sbin</code> 下命令的可用性有影响，实际以目标用户 <code>PATH</code> 为准。</p>
</blockquote>
<h3>5.2 sudo 授权</h3>
<p>普通用户默认没有 sudo 授权，因此无法使用 <code>sudo</code>。<code>sudo</code> 只能执行外部命令，并且只能执行 <code>secure_path</code> 变量所保存目录中的命令。</p>
<h4>授权流程</h4>
<ol>
<li>
<p>切换到 root（或具有修改 <code>/etc/sudoers</code> 权限的用户）：</p>
<pre><code class="language-bash">su root
# 或
sudo -i</code></pre>
</li>
<li>
<p>编辑 sudo 配置（推荐使用 <code>visudo</code>，它会进行语法检查）：</p>
<pre><code class="language-bash">visudo
# 或
vim /etc/sudoers</code></pre>
</li>
<li>
<p>添加授权规则。</p>
</li>
</ol>
<h4>sudo 规则格式</h4>
<pre><code class="language-text">用户名 机器名=(目标用户名:目标组) 命令列表</code></pre>
<p>其中 <code>(目标用户名:目标组)</code> 中的组部分可省略，写作 <code>(目标用户名)</code>。</p>
<h4>授权示例</h4>
<pre><code class="language-text"># 给 tom 用户授予完整 sudo 权限
tom ALL=(ALL:ALL) ALL

# 给 tom 用户组授予完整 sudo 权限（% 表示组）
%tom ALL=(ALL:ALL) ALL

# 授权单个命令：soul 用户可以 root 身份执行 ls 和 cat
soul ALL=(root) /bin/ls,/bin/cat

# 部分命令不需要密码，部分需要密码，可以分成多行书写
u2 ALL=(root) NOPASSWD: /bin/cat
u2 ALL=(root) /bin/mkdir</code></pre>
<p><code>(目标用户名)</code> 不限于 <code>root</code>，也可以指定普通用户，表示只允许以该用户身份执行命令：</p>
<pre><code class="language-text"># 允许 soul 以 u1 身份执行 ls（需输入 soul 自己的密码）
soul ALL=(u1) /bin/ls

# 允许 soul 以 u1 身份免密执行 cat
soul ALL=(u1) NOPASSWD: /bin/cat

# 允许 u1 以任意用户身份免密执行 fdisk
u1 ALL=(ALL) NOPASSWD: /bin/fdisk</code></pre>
<p>执行时用 <code>-u</code> 指定目标用户，否则默认以 root 身份运行（会因未授权而被拒绝）：</p>
<pre><code class="language-bash">sudo -u u1 ls /home/u1</code></pre>
<blockquote>
<p>查看命令的绝对路径可使用 <code>whereis &lt;command&gt;</code>，例如 <code>whereis mkdir</code>。</p>
</blockquote>
<hr />
<h2>六、文件权限</h2>
<h3>6.1 ls -l 解读</h3>
<p>使用 <code>ls -l</code> 查看文件权限：</p>
<pre><code class="language-bash">ls -l /tmp/readme.txt
ls -hl /tmp/readme.txt      # -h 以人类可读单位显示大小</code></pre>
<pre><code class="language-text">-rw-r--r-- 1 root root 4383 2011-03-01 01:37 readme.txt</code></pre>
<p>权限字符串共 10 位：</p>
<table>
<thead>
<tr>
<th>位</th>
<th>含义</th>
</tr>
</thead>
<tbody>
<tr>
<td>第 1 位</td>
<td>文件类型：<code>-</code> 普通文件，<code>d</code> 目录，<code>l</code> 符号链接，<code>b</code> 块设备，<code>c</code> 字符设备，<code>p</code> 管道，<code>s</code> socket</td>
</tr>
<tr>
<td>第 2–4 位</td>
<td>所属用户（属主）权限，u</td>
</tr>
<tr>
<td>第 5–7 位</td>
<td>所属组权限，g</td>
</tr>
<tr>
<td>第 8–10 位</td>
<td>其他用户权限，o</td>
</tr>
</tbody>
</table>
<pre><code class="language-text">-  rw-       r--       r--
   所属用户u  所属组g    其他人o</code></pre>
<ul>
<li><code>u</code>（user）：文件所有者的权限。</li>
<li><code>g</code>（group）：文件所属组的权限。</li>
<li><code>o</code>（other）：其他用户的权限。</li>
<li><code>a</code>（all）：以上三者的总称。</li>
</ul>
<p><code>ls -l</code> 其余各列依次为：硬链接数、所属用户、所属组、文件大小（字节）、最后修改时间、文件名。</p>
<h4>权限字符的含义</h4>
<table>
<thead>
<tr>
<th>权限</th>
<th>对文件</th>
<th>对目录</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>r</code>（read，4）</td>
<td>读取文件内容</td>
<td>列出目录中的文件列表</td>
</tr>
<tr>
<td><code>w</code>（write，2）</td>
<td>修改文件内容</td>
<td>在目录中创建、删除、重命名文件/子目录</td>
</tr>
<tr>
<td><code>x</code>（execute，1）</td>
<td>执行文件（文件必须是可执行程序或脚本）</td>
<td>切换（进入 <code>cd</code>）该目录</td>
</tr>
</tbody>
</table>
<h3>6.2 二进制与八进制权限</h3>
<p>权限位可用三位二进制表示，再转为八进制：</p>
<table>
<thead>
<tr>
<th>二进制</th>
<th>八进制</th>
<th>权限</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>000</code></td>
<td><code>0</code></td>
<td><code>---</code></td>
</tr>
<tr>
<td><code>001</code></td>
<td><code>1</code></td>
<td><code>--x</code></td>
</tr>
<tr>
<td><code>010</code></td>
<td><code>2</code></td>
<td><code>-w-</code></td>
</tr>
<tr>
<td><code>011</code></td>
<td><code>3</code></td>
<td><code>-wx</code></td>
</tr>
<tr>
<td><code>100</code></td>
<td><code>4</code></td>
<td><code>r--</code></td>
</tr>
<tr>
<td><code>101</code></td>
<td><code>5</code></td>
<td><code>r-x</code></td>
</tr>
<tr>
<td><code>110</code></td>
<td><code>6</code></td>
<td><code>rw-</code></td>
</tr>
<tr>
<td><code>111</code></td>
<td><code>7</code></td>
<td><code>rwx</code></td>
</tr>
</tbody>
</table>
<p>例如 <code>rwxr-xr-x</code>：</p>
<pre><code class="language-text">rwx  r-x  r-x
421  401  401
 7    5    5</code></pre>
<p>即八进制 <code>755</code>。</p>
<h3>6.3 修改权限：chmod</h3>
<pre><code class="language-bash">chmod u+x,g+r,o-r file          # 符号方式增减权限
chmod u=rwx,g=rw,o=r file       # 符号方式设定（赋值）权限，结果为 rwx rw- r--
chmod 755 file                  # 数字（八进制）方式设定权限，结果为 rwx r-x r-x
chmod 755 dirs -R               # 递归修改目录下所有文件权限为 755
chmod -R 755 dirs               # 同上，选项位置可前置
chmod a+x file                  # 给所有身份加执行权限
chmod o= file                   # 清空其他用户的所有权限</code></pre>
<h3>6.4 权限判断顺序</h3>
<ol>
<li>先判断是否为文件的所有者；若是，执行所有者（u）权限后<strong>结束</strong>。</li>
<li>若不是所有者，判断是否属于文件所属组（主组或附加组均可）；若是，执行所属组（g）权限后<strong>结束</strong>。</li>
<li>若都不是，执行其他人（o）权限。</li>
</ol>
<blockquote>
<p>因为判断到即结束，所以会出现「所有者权限比其他人还小」的情况，例如 <code>chmod 466 file</code> 时，属主反而只能读不能写。</p>
</blockquote>
<blockquote>
<p><strong>安全提示</strong>：公开目录不要随意添加权限，最大权限不要超过 <code>755</code>；给其他用户加 <code>w</code> 权限要谨慎。即使只给了其他用户 <code>3</code>（<code>-wx</code>）权限，别人也可能进入目录修改文件并强制保存（<code>:wq!</code>），从而将文件据为己有（变更所有者）。</p>
</blockquote>
<h3>6.5 修改所有权：chown / chgrp</h3>
<p>修改文件的所有者或所属组需要 root 权限。</p>
<pre><code class="language-bash">sudo chown tom file               # 修改文件所属用户为 tom
sudo chown :tom file              # 修改文件所属组为 tom
sudo chgrp tom file               # 同上，使用 chgrp 修改所属组
sudo chown tom:jack file          # 同时修改所属用户为 tom、所属组为 jack
sudo chown jack.root dirs -R      # 递归修改目录下所有文件的所属用户为 jack、所属组为 root
sudo chown -R jack:root dirs      # 同上，选项前置写法
sudo chgrp -R tom dirs            # 递归修改所属组</code></pre>
<blockquote>
<p><code>chown user.group</code> 与 <code>chown user:group</code> 两种写法均可。</p>
</blockquote>
<hr />
<h2>七、特殊权限：SUID / SGID / Sticky</h2>
<table>
<thead>
<tr>
<th>命令</th>
<th>说明</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>chmod u+s file</code></td>
<td>设置 SUID（SetUID）</td>
</tr>
<tr>
<td><code>chmod g+s file</code></td>
<td>设置 SGID（SetGID，对目录同样有效）</td>
</tr>
<tr>
<td><code>chmod u-s file</code></td>
<td>取消 SUID</td>
</tr>
<tr>
<td><code>chmod g-s file</code></td>
<td>取消 SGID</td>
</tr>
<tr>
<td><code>chmod o+t dir</code></td>
<td>设置 Sticky（粘贴位）</td>
</tr>
<tr>
<td><code>chmod o-t dir</code></td>
<td>取消 Sticky</td>
</tr>
</tbody>
</table>
<h3>7.1 对可执行文件设置 SUID / SGID</h3>
<ul>
<li>未设置特权位时，命令运行时采用<strong>运行者</strong>的身份。</li>
<li>设置特权位后，命令运行时采用的身份不再是运行者，而是<strong>命令文件本身的所属者</strong>（SUID）或<strong>所属组</strong>（SGID）。</li>
<li>典型例子：<code>/usr/bin/passwd</code>（普通用户改自己密码需要写 <code>/etc/shadow</code>）、<code>touch</code>。</li>
</ul>
<pre><code class="language-bash">ls -l /usr/bin/passwd
# -rwsr-xr-x. 1 root root ... /usr/bin/passwd</code></pre>
<h3>7.2 对目录设置 SGID</h3>
<p>对目录设置组特权位（SGID）后，在该目录下创建的子文件或子目录会自动<strong>继承该目录的所属组身份</strong>；子目录还会继承 SGID 特权位。</p>
<blockquote>
<p>对目录只能设置组特权（SGID），设置 SUID 无实际意义（Linux 忽略目录上的 SUID）。任何用户在设置了 SGID 的目录下创建文件，其所属组都为目录的所属组（root 也不例外）。</p>
</blockquote>
<p><strong>实验示例：让 mary 通过 SUID 程序以 tom 身份创建文件</strong></p>
<pre><code class="language-bash">mkdir -p /tmp/test/{tom,mary}
sudo chown tom:tom /tmp/test/tom -R
sudo chown mary:mary /tmp/test/mary -R
sudo chmod 700 /tmp/test/{mary,tom} -R

sudo cp /usr/bin/touch /tmp/test/mary/tomCreate
sudo chown tom:tom /tmp/test/mary/tomCreate
sudo chmod u+x /tmp/test/mary/tomCreate
sudo chmod u+s /tmp/test/mary/tomCreate

# 切换到 mary 执行 SUID 程序
su - mary
/tmp/test/mary/tomCreate /tmp/test/tom/mary.file
# 查看新创建文件的所有者，应为 tom
ls -l /tmp/test/tom/</code></pre>
<h3>7.3 粘贴位：Sticky</h3>
<p>粘贴位只对<strong>目录</strong>有效，用于防止其他用户删除文件。设置后，即使目录对其他人可写，也只有<strong>文件所有者、目录所有者和 root</strong> 才能删除或重命名该目录下的文件。典型应用：<code>/tmp</code>。</p>
<pre><code class="language-bash">chmod o+t dirs      # 给目录设置粘贴位
chmod o-t dirs      # 取消粘贴位</code></pre>
<p><strong>实验示例：</strong></p>
<pre><code class="language-bash">cd /
ls -l /                    # 查看 /tmp 目录的权限（默认为 drwxrwxrwt，带 sticky 位）
touch /tmp/uplooking.txt
chmod 777 /tmp/uplooking.txt
su - u1
rm /tmp/uplooking.txt      # 尝试删除（应失败，因为 /tmp 有 sticky 位）
exit
sudo chmod o-t /tmp
rm /tmp/uplooking.txt      # 再次尝试删除（应成功）
sudo chmod o+t /tmp        # 恢复 sticky 位</code></pre>
<h3>7.4 特殊权限的大小写显示</h3>
<p>SUID/SGID 显示在所有者/所属组的 <code>x</code> 位上，Sticky 显示在其他人的 <code>x</code> 位上。</p>
<ul>
<li>若该位<strong>原本有</strong> <code>x</code> 权限，特殊权限显示为<strong>小写</strong>（<code>s</code>、<code>s</code>、<code>t</code>）。</li>
<li>若该位<strong>原本没有</strong> <code>x</code> 权限，特殊权限显示为<strong>大写</strong>（<code>S</code>、<code>S</code>、<code>T</code>）。</li>
</ul>
<hr />
<h2>八、ACL 扩展权限：getfacl / setfacl</h2>
<p>基本权限只能表示所有者、所属组、其他人三类身份。当需要对<strong>单个用户</strong>或<strong>单个组</strong>单独设置 rwx 权限时，需要使用 ACL（Access Control List）。</p>
<p><strong>文件系统支持情况（版本差异）：</strong></p>
<ul>
<li><strong>CentOS 6</strong>：新建分区可能需要手动开启 ACL 功能（<code>mount -o acl</code> 或在 <code>/etc/fstab</code> 中添加 <code>acl</code> 挂载选项；ext2/ext3 需显式启用）。</li>
<li><strong>CentOS 7</strong>：默认使用 XFS 文件系统，ACL 自动启用，无需手动开启。</li>
<li>不能将带有 ACL 权限的文件拷贝到未启用 ACL 的分区（ACL 会丢失）。</li>
</ul>
<h3>8.1 设置 ACL 权限：setfacl</h3>
<pre><code class="language-bash">sudo setfacl -m u:username:rwx /path/filename       # 给指定用户设置 ACL
sudo setfacl -m u:u1:rwx /tmp/1_acl.txt             # 示例：给用户 u1 授予 rwx
sudo setfacl -m u:u1:rwx /testdir                   # 对目录设置
sudo setfacl -mR u:u1:rwx /testdir                  # 递归对目录设置（也可写作 -Rm）
sudo setfacl -Rm u:u1:rwx /testdir                  # 同上
sudo setfacl -m g:groupname:rwx /path/filename      # 给指定组设置 ACL</code></pre>
<p>设置后用 <code>ls -l</code> 查看，权限位末尾会出现 <code>+</code> 号，表示该文件具有 ACL 权限。</p>
<h3>8.2 查看 ACL 权限：getfacl</h3>
<pre><code class="language-bash">getfacl /tmp/1_acl.txt          # 查看文件的 ACL 权限
getfacl /acl/1_acl.txt</code></pre>
<h3>8.3 ACL 判断顺序</h3>
<p>完整的权限判断顺序（含 ACL）为：</p>
<pre><code class="language-text">所有者 -&gt; 命名用户/命名组（ACL 条目） -&gt; 所属组 -&gt; 其他用户</code></pre>
<p>即在传统的「所有者 → 所属组 → 其他用户」顺序中，ACL 的命名用户/命名组条目插在所有者之后、所属组之前进行匹配。</p>
<h3>8.4 删除 ACL 权限</h3>
<pre><code class="language-bash">setfacl -k dir      # 删除目录的默认（default）ACL 权限
setfacl -b file     # 去除文件上的所有 ACL 属性</code></pre>
<h3>8.5 复制时保留 ACL</h3>
<pre><code class="language-bash">cp /tmp/1_acl.txt ~/         # 不会保留 ACL 权限
cp -p /tmp/1_acl.txt ~/      # 会保留 ACL 权限（同时保留属主、时间戳等）</code></pre>
<hr />
<h2>九、权限掩码：umask</h2>
<p><code>umask</code> 用于设置创建文件或目录时的默认权限掩码。</p>
<table>
<thead>
<tr>
<th>用户类型</th>
<th>默认 umask</th>
</tr>
</thead>
<tbody>
<tr>
<td>root（管理员）</td>
<td><code>022</code></td>
</tr>
<tr>
<td>普通用户</td>
<td><code>002</code></td>
</tr>
</tbody>
</table>
<h3>9.1 正确的计算方式</h3>
<p>umask 是一个<strong>掩码</strong>，作用是把默认权限中对应的权限位「去掉」：</p>
<pre><code class="language-text">实际权限 = 默认权限 AND (NOT umask)</code></pre>
<ul>
<li><strong>目录</strong>的默认权限基数是 <code>777</code>。</li>
<li><strong>文件</strong>的默认权限基数是 <code>666</code>，而不是 <code>777</code>，因为新建的普通文件通常不需要执行位，系统不会主动赋予 <code>x</code>。</li>
</ul>
<table>
<thead>
<tr>
<th>身份</th>
<th>对象</th>
<th>默认权限</th>
<th>umask</th>
<th>实际权限</th>
</tr>
</thead>
<tbody>
<tr>
<td>root</td>
<td>目录</td>
<td><code>777</code></td>
<td><code>022</code></td>
<td><code>755</code></td>
</tr>
<tr>
<td>root</td>
<td>文件</td>
<td><code>666</code></td>
<td><code>022</code></td>
<td><code>644</code></td>
</tr>
<tr>
<td>普通用户</td>
<td>目录</td>
<td><code>777</code></td>
<td><code>002</code></td>
<td><code>775</code></td>
</tr>
<tr>
<td>普通用户</td>
<td>文件</td>
<td><code>666</code></td>
<td><code>002</code></td>
<td><code>664</code></td>
</tr>
</tbody>
</table>
<pre><code class="language-bash">umask                # 查看当前权限掩码
umask 0077           # 修改当前权限掩码为 0077（仅对当前 shell 进程临时生效）
umask 0222           # 去除写权限
umask 0000           # 不屏蔽任何权限</code></pre>
<blockquote>
<p>修改 <code>umask</code> 只影响当前 shell 进程及其子进程，重启终端后失效。要永久生效需写入 <code>~/.bashrc</code>、<code>~/.bash_profile</code> 或 <code>/etc/profile</code>。</p>
</blockquote>
<h3>9.2 关于「异或算法」的常见误区</h3>
<p>部分讲义把 umask 的计算描述为「默认权限与 umask 做<strong>异或</strong>（相同为 0，不同为 1）」，其按位演算示例如下：</p>
<pre><code class="language-text">0777  111 111 111
0002  000 000 010
      111 111 101   = 775</code></pre>
<blockquote>
<p><strong>注意</strong>：这种理解是<strong>不正确</strong>的。异或只是在 <code>002</code>、<code>022</code> 这类常见掩码下<strong>碰巧</strong>得到了相同结果。例如 <code>umask 003</code> 时，文件实际权限应是 <code>666 AND (NOT 003)</code> = <code>664</code>，而按异或计算会得出错误的 <code>665</code>。</p>
<p>同理，也不要用「<code>777 - umask</code>」做减法：<code>umask 003</code> 时 <code>666 - 003 = 663</code>，同样是错的。</p>
<p>只有用「掩码屏蔽权限位」（<code>默认权限 AND (NOT umask)</code>）来理解才始终正确。</p>
</blockquote>
<hr />
<h2>十、文件隐藏属性：chattr / lsattr</h2>
<table>
<thead>
<tr>
<th>命令</th>
<th>说明</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>lsattr</code></td>
<td>查看当前目录下文件的特殊（隐藏）属性</td>
</tr>
<tr>
<td><code>lsattr file</code></td>
<td>查看指定文件的特殊属性</td>
</tr>
<tr>
<td><code>chattr +i file</code></td>
<td>添加 <code>i</code>（immutable）属性：不可修改、不可删除、不可重命名，管理员也不能直接更改</td>
</tr>
<tr>
<td><code>chattr +a file</code></td>
<td>添加 <code>a</code>（append only）属性：只能追加内容，不能修改或覆盖</td>
</tr>
<tr>
<td><code>chattr -i file</code></td>
<td>取消 <code>i</code> 属性</td>
</tr>
<tr>
<td><code>chattr -a file</code></td>
<td>取消 <code>a</code> 属性</td>
</tr>
</tbody>
</table>
<pre><code class="language-bash">lsattr
sudo chattr +i file
sudo chattr +a file
sudo chattr -i file
sudo chattr -a file
sudo chattr +i /tmp/uplooking.txt
sudo chattr -i /tmp/uplooking.txt
sudo chattr +a /tmp/uplooking.txt</code></pre>
<blockquote>
<p>如果文件同时有 <code>i</code> 属性，需要<strong>先取消 <code>i</code></strong> 才能设置 <code>a</code> 属性。</p>
</blockquote>
<blockquote>
<p><strong>安全边界说明</strong>：<code>chattr +i</code> 可以阻止包括 root 在内的所有用户直接修改或删除文件，但<strong>并非绝对不可逆</strong>：root（具备 <code>CAP_LINUX_IMMUTABLE</code> 能力）仍可执行 <code>chattr -i</code> 解除后再操作。因此它是「防误操作」手段，不能当作安全边界；解除前请确认业务影响。</p>
</blockquote>
<p><strong>实验示例：</strong></p>
<pre><code class="language-bash">touch /tmp/uplooking.txt
chmod 777 /tmp/uplooking.txt
sudo chattr +i /tmp/uplooking.txt
# 尝试用 vim 编辑保存、用 &gt; 和 &gt;&gt; 重定向，观察是否成功（均应失败）
sudo chattr +a /tmp/uplooking.txt    # 因已有 i 属性，此操作会失败
sudo chattr -i /tmp/uplooking.txt
sudo chattr +a /tmp/uplooking.txt    # 现在可以成功
# 用 vim 编辑文件保存（vim 不会提示只读，但保存会失败）
echo "hello world" &gt;&gt; /tmp/uplooking.txt   # 追加写入应该成功
echo "hello world" &gt; /tmp/uplooking.txt    # 覆盖写入应该失败</code></pre>
<hr />
<h2>十一、环境变量、命令别名与命令历史</h2>
<h3>11.1 查看变量</h3>
<table>
<thead>
<tr>
<th>命令</th>
<th>作用</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>env</code></td>
<td>显示当前 shell 的环境变量（包含用户环境变量）</td>
</tr>
<tr>
<td><code>set</code></td>
<td>显示当前 shell 的所有变量（含私有变量），按变量名排序</td>
</tr>
<tr>
<td><code>export</code></td>
<td>显示已导出为用户/环境变量的 shell 变量及其属性，按变量名排序</td>
</tr>
</tbody>
</table>
<h3>11.2 用户环境变量配置文件</h3>
<p>位于用户家目录（<code>/home/&lt;用户名&gt;/</code> 或 <code>/root/</code>）下：</p>
<table>
<thead>
<tr>
<th>文件</th>
<th>作用</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>~/.bash_history</code></td>
<td>记录用户执行过的历史命令；用户<strong>退出登录后</strong>才会将当前命令历史写入此文件</td>
</tr>
<tr>
<td><code>~/.bash_logout</code></td>
<td>用户退出登录时执行的脚本；需通过 <code>logout</code> 或 <code>exit</code> 退出才生效</td>
</tr>
<tr>
<td><code>~/.bash_profile</code></td>
<td>用户环境变量的常规设定位置，用户<strong>登录时</strong>执行</td>
</tr>
<tr>
<td><code>~/.bashrc</code></td>
<td>命令别名的设定位置，每次<strong>打开新终端时</strong>执行</td>
</tr>
</tbody>
</table>
<h3>11.3 全局环境变量配置文件</h3>
<table>
<thead>
<tr>
<th>文件</th>
<th>作用</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>/etc/bashrc</code></td>
<td>全局 bash 配置（全局别名和函数），影响所有用户</td>
</tr>
<tr>
<td><code>/etc/profile</code></td>
<td>全局环境变量配置，影响所有用户</td>
</tr>
</tbody>
</table>
<p>修改后使其立即生效：</p>
<pre><code class="language-bash">source /etc/profile
# 或
. /etc/profile</code></pre>
<h3>11.4 命令历史：history</h3>
<pre><code class="language-bash">history                 # 查看当前用户的历史命令
history 10              # 显示最后（最近）10 条历史命令
history -w b.history    # 将当前命令历史写入文件
history -r a.history    # 从文件读取命令历史到历史列表
history -c              # 清除（清空）当前命令历史列表</code></pre>
<p>历史命令调用快捷方式：</p>
<table>
<thead>
<tr>
<th>符号</th>
<th>作用</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>!!</code></td>
<td>重复执行上一条命令</td>
</tr>
<tr>
<td><code>!a</code></td>
<td>重复执行最近一条以 <code>a</code> 开头的命令</td>
</tr>
<tr>
<td><code>!100</code></td>
<td>重复执行历史记录中第 100 条命令</td>
</tr>
<tr>
<td><code>!$</code></td>
<td>获取上一条命令的最后一个参数（常用于获取路径）</td>
</tr>
</tbody>
</table>
<h3>11.5 命令别名：alias</h3>
<pre><code class="language-bash">alias                       # 列出当前所有别名
alias ls='ls -l'            # 创建别名（仅当前 shell 生效，重启终端失效）
unalias ls                  # 取消别名</code></pre>
<p>将别名写入 <code>~/.bashrc</code> 可永久生效：</p>
<pre><code class="language-bash">echo "alias ms='sudo mount 192.168.0.183:/soul /mnt'" &gt;&gt; ~/.bashrc
echo "alias ums='sudo umount /mnt'" &gt;&gt; ~/.bashrc
. ~/.bashrc                 # 重新加载配置使其生效</code></pre>
<p>也可将 <code>set -o vi</code> 等设置加入 <code>~/.bashrc</code>：</p>
<pre><code class="language-bash">echo "set -o vi" &gt;&gt; ~/.bashrc</code></pre>
<h3>11.6 常用 Bash 快捷键</h3>
<table>
<thead>
<tr>
<th>快捷键</th>
<th>作用</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>Tab</code></td>
<td>第一次补全命令或文件名，按两次列出所有匹配项</td>
</tr>
<tr>
<td><code>Ctrl + C</code></td>
<td>终止（结束）当前任务</td>
</tr>
<tr>
<td><code>Ctrl + A</code></td>
<td>光标跳到行首</td>
</tr>
<tr>
<td><code>Ctrl + E</code></td>
<td>光标跳到行尾</td>
</tr>
<tr>
<td><code>Ctrl + L</code></td>
<td>清屏</td>
</tr>
<tr>
<td><code>Ctrl + D</code></td>
<td>退出当前终端（等同于 <code>exit</code>）</td>
</tr>
</tbody>
</table>
<hr />
<h2>十二、练习题与参考答案</h2>
<h3>PPP1：用户增删改查</h3>
<p><strong>题目</strong>：创建用户并设置密码，查询用户信息在配置文件中的变化，用该用户登录后再删除。</p>
<p><strong>参考答案</strong>：</p>
<pre><code class="language-bash">useradd u1001
passwd u1001
# 查看 /etc/passwd 和 /etc/shadow 中新增的行
grep u1001 /etc/passwd /etc/shadow /etc/group /etc/gshadow
# 用 u1001 在文本控制台（Ctrl+Alt+F2）登录验证
userdel -r u1001</code></pre>
<p>要点：<code>useradd</code> 会同时在 <code>/etc/passwd</code>、<code>/etc/shadow</code>、<code>/etc/group</code>、<code>/etc/gshadow</code> 中新增记录，并创建家目录和邮件文件；<code>userdel -r</code> 会一并清除家目录和邮件文件。</p>
<h3>PPP2：批量创建与删除用户</h3>
<p><strong>题目</strong>：创建 10 个用户 <code>u1</code> 到 <code>u10</code>，统一设置密码 <code>123456</code>，验证后全部删除（含家目录）。</p>
<p><strong>参考答案</strong>：</p>
<pre><code class="language-bash">for i in {1..10}; do useradd u$i; done                            # 批量创建
for i in {1..10}; do echo "123456" | passwd --stdin u$i; done      # 批量设置密码
for i in {1..10}; do userdel -r u$i; done                          # 批量删除并清理家目录</code></pre>
<blockquote>
<p><code>passwd --stdin</code> 仅 RHEL / CentOS 可用；Ubuntu / Debian 请改用 <code>chpasswd</code>：</p>
<pre><code class="language-bash">for i in {1..10}; do echo "u$i:123456" | chpasswd; done</code></pre>
</blockquote>
<h3>PPP3：用户管理综合操作</h3>
<p><strong>题目</strong>：完成用户的创建、删除、设密码、登录、锁定/解锁、账号过期设置与清除、修改主组、查看信息、改名等一整套操作，并观察每一步的报错信息。</p>
<p><strong>参考答案</strong>：</p>
<pre><code class="language-bash"># 1. 创建用户
useradd u1
# 2. 删除用户
userdel -r u1
# 3. 再次创建用户
useradd u1
# 4. 设置密码
sudo passwd u1
# 5. 切换登录
su - u1
# 6. 锁定用户密码
sudo usermod -L u1
# 7. 再次登录查看报错（提示认证失败）
su - u1
# 8. 解锁用户密码
sudo usermod -U u1
# 9. 设置账号过期
sudo usermod -e "2014-01-01" u1
# 10. 登录查看报错（提示账号已过期）
su - u1
# 11. 清除过期信息
sudo usermod -e "" u1
# 12. 修改初始组（主组）
sudo usermod -g &lt;gid&gt; u1
# 13. 查看用户信息
id u1
# 14. 修改用户名
sudo usermod -l &lt;newname&gt; u1
# 15. 用新用户名登录，查看家目录路径</code></pre>
<p>要点：<code>usermod -l</code> 只改用户名，<strong>不会</strong>自动改家目录名，登录后 <code>pwd</code> 仍是原家目录路径；如需同步需配合 <code>usermod -d</code>。</p>
<h3>PPP4：sudo 授权</h3>
<p><strong>题目</strong>：创建用户 <code>u1</code>、<code>u2</code>，通过 <code>visudo</code> 配置多条授权规则（含指定非 root 目标用户、免密与需密码两类），并逐条验证。</p>
<p><strong>参考答案</strong>：</p>
<ol>
<li>创建用户：</li>
</ol>
<pre><code class="language-bash">sudo useradd u1
sudo useradd u2</code></pre>
<ol start="2">
<li>通过 <code>visudo</code> 配置以下规则（将 <code>soul</code> 替换为当前用户名）：</li>
</ol>
<pre><code class="language-text"># 以 u1 身份执行 ls（需输入 soul 自己的密码）
soul ALL=(u1) /bin/ls
# 以 u1 身份执行 cat，不需要密码
soul ALL=(u1) NOPASSWD: /bin/cat
# 以 u2 身份执行任意命令
soul ALL=(u2) ALL
# 以 root 身份执行 ifconfig，不需要密码
soul ALL=(root) NOPASSWD: /sbin/ifconfig
# 以 root 身份执行 fdisk，需要密码
soul ALL=(root) /sbin/fdisk
# u1 以 root 身份执行 fdisk，不需要密码
u1   ALL=(root) NOPASSWD: /sbin/fdisk
# u1 以 root 身份执行 mkdir
u1   ALL=(root) /bin/mkdir
# u1 以任意用户身份免密执行 fdisk
u1   ALL=(ALL) NOPASSWD: /bin/fdisk</code></pre>
<ol start="3">
<li>验证：</li>
</ol>
<pre><code class="language-bash"># 指定目标用户执行，否则默认以 root 身份运行而被拒绝
sudo -u u1 ls /home/u1
sudo -u u1 cat /home/u1/.bashrc

su - u1
sudo mkdir /test        # 未授权前会失败（提示 u1 is not in the sudoers file）
# 在 sudoers 中添加 u1 ALL=(root) /bin/mkdir，再测试
# 用同样方式测试 rm、cat、useradd 等命令</code></pre>
<p>要点：命令必须写<strong>绝对路径</strong>（可用 <code>whereis &lt;command&gt;</code> 查询）；<code>sudo</code> 只能执行 <code>secure_path</code> 中的外部命令；务必用 <code>visudo</code> 编辑以获得语法检查。</p>
<h3>PPP5：组管理综合操作</h3>
<p><strong>题目</strong>：创建三个组并删除其中一个，创建两个用户，完成组成员的批量设置、移除，以及组管理员设置，并验证 <code>newgrp</code> 行为。</p>
<p><strong>参考答案</strong>：</p>
<pre><code class="language-bash"># 1. 创建三个组
sudo groupadd g1
sudo groupadd g2
sudo groupadd g3
# 2. 删除组 g3
sudo groupdel g3
# 3. 创建用户 u1、u2
sudo useradd u1
sudo useradd u2
# 4. 将 u1、u2 加入 g1（覆盖式设置成员列表）
sudo gpasswd -M u1,u2 g1
# 5. 将 u2 从 g1 删除
sudo gpasswd -d u2 g1
# 6. 将 u1、u2 设为 g1 的管理员
sudo gpasswd -A u1,u2 g1</code></pre>
<p>验证要点：</p>
<ul>
<li>如果用户不属于某个组，且该组也没有设置密码，该用户<strong>无法</strong>通过 <code>newgrp</code> 切换到该组。</li>
<li>如果用户已属于某个组，切换到该组时<strong>不需要</strong>密码。</li>
<li>组管理员可以将其他用户加入或移出组，也可以将自己从组中删除。</li>
<li>不能删除某个用户的主组，必须先删除该用户。</li>
</ul>
<h3>PPP6：移动用户家目录</h3>
<p><strong>题目</strong>：将用户 <code>u1</code> 的家目录从 <code>/home/u1</code> 迁移到 <code>/u1</code>，并保证用户能正常登录使用。</p>
<p><strong>参考答案</strong>（步骤）：</p>
<ol>
<li>预备一个有足够空间的存储设备并挂载。</li>
<li>确保该用户已经登出。</li>
<li>暂时禁用用户：<code>sudo passwd -l u1</code>。</li>
<li>将家目录移动或复制到新位置。</li>
<li>修改 <code>/etc/passwd</code> 中对应用户的第 6 列。</li>
<li>解锁用户：<code>sudo passwd -u u1</code>。</li>
</ol>
<p>参考命令：</p>
<pre><code class="language-bash">sudo useradd u1
sudo passwd u1
sudo passwd -l u1
sudo mkdir /u1
sudo chown u1:u1 /u1
sudo cp -a /home/u1/. /u1/         # 或 sudo cp -a /home/u1/.[^.]* /u1/
# 修改 /etc/passwd 中 u1 的家目录为 /u1
sudo passwd -u u1
# 登录 u1 验证
su - u1</code></pre>
<p>要点：必须使用 <code>cp -a</code>（或 <code>-p</code>）保留权限与属主；不要遗漏 <code>.bash*</code> 等隐藏文件；也可直接使用 <code>usermod -d /u1 u1</code> 由命令完成配置修改。</p>
<h3>PPP7：无密码登录</h3>
<p><strong>题目</strong>：用两种方法实现用户无密码即可登录。</p>
<p><strong>参考答案</strong>：</p>
<ol>
<li>修改 <code>/etc/passwd</code>：将对应用户第 2 列的 <code>x</code> 删除（该字段留空）。</li>
<li>修改 <code>/etc/shadow</code>：将对应用户第 2 列的加密密码内容删除（保留冒号分隔符）。</li>
</ol>
<blockquote>
<p><strong>安全警告</strong>：空密码意味着任何人都能以该用户身份登录，属于严重安全风险，仅可用于实验环境，生产环境严禁使用。禁止密码登录应使用 <code>passwd -l</code> 锁定。</p>
</blockquote>
<h3>PPP8：两种方法给用户改名</h3>
<p><strong>题目</strong>：用两种方法把用户改名。</p>
<p><strong>参考答案</strong>：</p>
<ol>
<li>使用命令：<code>sudo usermod -l &lt;newname&gt; &lt;oldname&gt;</code>。</li>
<li>直接修改配置文件：编辑 <code>/etc/passwd</code>（以及 <code>/etc/shadow</code>、<code>/etc/group</code>、<code>/etc/gshadow</code> 中对应的用户名字段）。</li>
</ol>
<h3>PPP9：文件权限管理（chmod 符号模式）</h3>
<p><strong>题目</strong>：对文件依次完成删除全部权限、逐类增删 rwx、组合修改、以及最终设置为 <code>rwxr-xr--</code> 的操作。</p>
<p><strong>参考答案</strong>：</p>
<pre><code class="language-bash"># 1. 删除文件所有权限
sudo chmod 000 5_PPP9.txt
# 2. 给所有者添加读权限
sudo chmod u+r 5_PPP9.txt
# 3. 给所有者赋予 rwx
sudo chmod u=rwx 5_PPP9.txt
# 4. 给所属组添加读权限
sudo chmod g+r 5_PPP9.txt
# 5. 给所属组赋予 rwx
sudo chmod g=rwx 5_PPP9.txt
# 6. 给其他用户添加读权限
sudo chmod o+r 5_PPP9.txt
# 7. 给其他用户赋予 rwx
sudo chmod o=rwx 5_PPP9.txt
# 8. 删除其他用户的写权限
sudo chmod o-w 5_PPP9.txt
# 9. 删除其他用户的所有权限
sudo chmod o-r,o-w,o-x 5_PPP9.txt
# 10. 删除所属组写权限，同时删除其他用户所有权限
sudo chmod g-w,o= 5_PPP9.txt
# 11. 设置权限为 rwxr-xr--（两种等价写法）
sudo chmod 754 5_PPP9.txt
sudo chmod u=rwx,g=r-x,o=r-- 5_PPP9.txt</code></pre>
<p><strong>进一步实验</strong>：在自己的目录下创建文件，分别设置权限为 <code>600</code>、<code>060</code>、<code>006</code>，尝试用 <code>vim</code> 编辑并保存（含 <code>:wq!</code> 强制保存），观察普通用户与 <code>sudo</code> 下的差异。</p>
<p>要点：权限判断「命中即结束」，所以属主为 <code>0</code> 时即使组和其他人有权限，属主也无法读写；root 与 <code>sudo</code> 不受普通权限位限制。</p>
<h3>PPP10：SUID / SGID / Sticky</h3>
<p><strong>题目</strong>：给二进制可执行文件加 SUID，给文件或目录加 SGID，给目录加 Sticky，并用 <code>ls -l</code> 观察权限位显示。</p>
<p><strong>参考答案</strong>：</p>
<pre><code class="language-bash">chmod u+s &lt;filename&gt;     # 给二进制可执行文件加 SUID
chmod g+s &lt;filename&gt;     # 给文件或目录加 SGID
chmod o+t &lt;dirname&gt;      # 给目录加 sticky
ls -l                    # 观察 s/S、t/T 的显示位置与大小写</code></pre>
<p>要点：对应位原本有 <code>x</code> 则显示小写 <code>s</code>/<code>t</code>，无 <code>x</code> 则显示大写 <code>S</code>/<code>T</code>。</p>
<h3>PPP11：数字方式设置权限</h3>
<p><strong>题目</strong>：使用八进制数字方式为文件和目录设置各种权限组合，并说明每种组合的实际效果。</p>
<p><strong>参考答案</strong>：</p>
<pre><code class="language-bash">sudo chmod 750 1_test.txt    # 所有者 rwx，属组 r-x，其他无权限
sudo chmod 575 1_test.txt    # 所有者 r-x，属组 rwx，其他 r-x
sudo chmod 770 1_test        # 目录：所有者和属组 rwx，其他无权限
sudo chmod 777 1_test        # 目录：所有人 rwx
sudo chmod 755 1_test.txt    # 所有人可读可执行，只有所有者可修改
sudo chmod 644 1_test        # 目录：所有人可列出内容（无 x 故不能进入），只有所有者可添加</code></pre>
<p>要点：目录缺少 <code>x</code> 时即使有 <code>r</code> 也无法 <code>cd</code> 进入，且无法读取目录内文件的元数据。</p>
<h3>PPP12：gid 与 groups 的区别</h3>
<p><strong>题目</strong>：验证 <code>gid</code>（主组/有效组）作用于创建文件时的属组，<code>groups</code>（全部所属组）作用于访问文件时的权限匹配。</p>
<p><strong>参考答案</strong>（步骤）：</p>
<ol>
<li>创建组 <code>g1</code>、<code>g2</code> 和用户 <code>u1</code>。</li>
<li>将 <code>u1</code> 加入 <code>g1</code> 和 <code>g2</code>，并将 <code>g1</code> 设为默认有效组（主组）。</li>
<li>以 <code>u1</code> 登录并创建文件，<code>ls -l</code> 查看属组，应为 <code>g1</code>。</li>
<li>执行 <code>newgrp g2</code> 切换有效组，再创建文件，对比属组，应为 <code>g2</code>。</li>
<li>验证 <code>groups</code> 对访问的影响：<ul>
<li>让 <code>u1</code> 只属于 <code>g1</code>。</li>
<li>root 创建文件 <code>f1</code>，权限 <code>740</code>，属组为 <code>g1</code>，<code>u1</code> 应<strong>可读</strong>。</li>
<li>root 创建文件 <code>f2</code>，权限 <code>740</code>，属组为 <code>g2</code>，<code>u1</code> 应<strong>不可读</strong>。</li>
<li>将 <code>u1</code> 加入 <code>g2</code> 后，<code>u1</code> 应能读 <code>f2</code>，同时仍能读 <code>f1</code>。</li>
</ul>
</li>
</ol>
<p>参考命令：</p>
<pre><code class="language-bash">sudo groupadd g1
sudo groupadd g2
sudo useradd -g g1 u1
sudo gpasswd -a u1 g2
su - u1
touch a.txt &amp;&amp; ls -l a.txt      # 属组为 g1
newgrp g2
touch b.txt &amp;&amp; ls -l b.txt      # 属组为 g2</code></pre>
<p>结论：<code>gid</code>（主组/有效组）决定新建文件的属组；<code>groups</code>（全部所属组，含附加组）决定访问已有文件时能否匹配到组权限。</p>
<h3>PPP13：组管理员是否可以不属于该组</h3>
<p><strong>题目</strong>：验证一个不属于某组的用户能否被设置为该组的管理员。</p>
<p><strong>参考答案</strong>（步骤）：</p>
<ol>
<li>创建组 <code>g1</code> 和用户 <code>u1</code>、<code>u2</code>、<code>u3</code>。</li>
<li>将 <code>u1</code>、<code>u2</code> 加入 <code>g1</code>。</li>
<li>尝试将不属于 <code>g1</code> 的 <code>u3</code> 设为 <code>g1</code> 的管理员，观察结果。</li>
</ol>
<pre><code class="language-bash">sudo groupadd g1
sudo useradd u1; sudo useradd u2; sudo useradd u3
sudo gpasswd -M u1,u2 g1
sudo gpasswd -A u3 g1
grep g1 /etc/gshadow</code></pre>
<p>结论：<code>gpasswd -A</code> 可以把<strong>不属于该组</strong>的用户写入 <code>/etc/gshadow</code> 的管理员字段，即组管理员不必是该组成员；该用户随后即可对该组执行 <code>gpasswd -a</code>/<code>-d</code> 操作。同时注意 <code>gpasswd -A</code> 会覆盖原有管理员列表，如需保留多个管理员应直接编辑 <code>/etc/gshadow</code>。</p>
<h3>PPP14：体验 SUID 和 SGID</h3>
<p><strong>题目</strong>：通过给 <code>/bin/cat</code> 临时加 SUID/SGID，体会特权位对身份的影响，并在测试后恢复原始权限。</p>
<p><strong>参考答案</strong>（步骤）：</p>
<ol>
<li>用普通用户读取一个只有 root 可读的文件（如 <code>/etc/shadow</code>），观察结果（Permission denied）。</li>
<li>用 root 给 <code>/bin/cat</code> 加上 SUID 位，再次用普通用户读取，观察结果（可以读取成功）。</li>
</ol>
<pre><code class="language-bash">sudo chmod u+s /bin/cat
su - u1
cat /etc/shadow
exit</code></pre>
<ol start="3">
<li>恢复 <code>/bin/cat</code> 的权限：</li>
</ol>
<pre><code class="language-bash">sudo chmod u-s /bin/cat</code></pre>
<ol start="4">
<li>类似地，给 <code>/bin/cat</code> 加 SGID 位并配合文件属组权限进行测试：</li>
</ol>
<pre><code class="language-bash">sudo chmod g+s /bin/cat
# 准备一个属组为特定组、组权限可读而其他人不可读的文件，用普通用户读取验证
sudo chmod g-s /bin/cat</code></pre>
<ol start="5">
<li>测试完毕后务必恢复原始权限。</li>
</ol>
<blockquote>
<p><strong>安全警告</strong>：给 <code>cat</code>、<code>vim</code>、<code>find</code> 等通用命令加 SUID 等同于把 root 权限暴露给所有用户，仅可在实验环境短暂验证，验证后立即恢复。</p>
</blockquote>
<h3>PPP15：umask 实验</h3>
<p><strong>题目</strong>：查看当前 <code>umask</code>，分别在默认掩码、<code>0222</code>、<code>0000</code> 三种情况下新建文件和目录，验证实际权限是否符合「默认权限 AND (NOT umask)」。</p>
<p><strong>参考答案</strong>：</p>
<pre><code class="language-bash"># 1. 查看当前 umask，创建文件和目录查看默认权限
umask
touch file1
mkdir dir1
ls -l file1 dir1
# 普通用户默认 umask 002：文件 664，目录 775
# root 默认 umask 022：文件 644，目录 755

# 2. 修改 umask 为 0222 以去除写权限
umask 0222
touch file2
mkdir dir2
ls -l file2 dir2
# 文件 444，目录 555

# 3. 修改 umask 为 0000（不屏蔽任何权限）
umask 0000
touch file3
mkdir dir3
ls -l file3 dir3
# 目录 777，文件 666
# 文件不会有执行权限，因为 touch 创建文件时默认不包含执行位（基数为 666）</code></pre>
<p>要点：不要用异或或减法计算 umask，见「九、权限掩码：umask」中的误区说明。</p>
<h3>PPP16：用 strace 验证 touch 和 mkdir 的创建权限</h3>
<p><strong>题目</strong>：用 <code>strace</code> 追踪 <code>touch</code> 和 <code>mkdir</code> 的系统调用，验证它们请求的创建权限基数分别是 <code>0666</code> 和 <code>0777</code>。</p>
<p><strong>参考答案</strong>：</p>
<pre><code class="language-bash"># 追踪 touch 的系统调用，输出重定向到文件（strace 输出在标准错误）
strace touch file1 2&gt; /tmp/strace.log
# 在日志中查找 open/openat/creat 调用的 mode 参数，应为 0666
vim /tmp/strace.log

# 追踪 mkdir
strace mkdir dir1 2&gt; /tmp/strace.log
# 在日志中查找 mkdir 调用的 mode 参数，应为 0777
vim /tmp/strace.log</code></pre>
<p>追踪正在运行的进程（假设 PID 为 2651）：</p>
<pre><code class="language-bash">strace -p 2651 2&gt; /tmp/trace</code></pre>
<p>结论：内核最终权限 = 程序请求的 mode AND (NOT umask)，这解释了为什么文件基数是 666、目录基数是 777。</p>
<h3>PPP17：ACL 权限</h3>
<p><strong>题目</strong>：创建权限为 <code>775</code> 的 <code>/acl</code> 目录，在其中创建权限为 <code>770</code> 的文件，给不属于该文件属主/属组的用户 <code>u1</code> 授予 <code>rwx</code> 的 ACL 权限，并验证 <code>u1</code> 能否修改文件。</p>
<p><strong>参考答案</strong>：</p>
<pre><code class="language-bash"># 1. 在根目录创建权限为 775 的 acl 目录
sudo mkdir /acl
sudo chmod 775 /acl
# 2. 在其中创建权限为 770 的文件
sudo touch /acl/1_acl.txt
sudo chmod 770 /acl/1_acl.txt
# 3. 给 u1 添加 rwx 的 ACL 权限
sudo setfacl -m u:u1:rwx /acl/1_acl.txt
# 4. 查看 ACL 与权限位末尾的 + 标记
getfacl /acl/1_acl.txt
ls -l /acl/1_acl.txt
# 5. 切换到 u1 尝试修改文件（应成功）
su - u1
echo "test" &gt;&gt; /acl/1_acl.txt</code></pre>
<p>要点：文件权限 <code>770</code> 使其他用户本无任何权限，ACL 的命名用户条目在「所属组」之前被匹配，因此 <code>u1</code> 获得了 rwx；<code>ls -l</code> 权限位末尾会出现 <code>+</code>。</p>
<hr />
<h2>十三、扩展思考</h2>
<ol>
<li><strong>了解 Linux 高级文件权限体系</strong>，掌握以下命令：<code>setfacl</code>、<code>getfacl</code>、<code>chattr</code>、<code>lsattr</code>、<code>getenforce</code>、<code>setenforce</code>。其中 <code>getenforce</code>/<code>setenforce</code> 用于查看和临时切换 SELinux 的强制模式（<code>Enforcing</code>/<code>Permissive</code>/<code>Disabled</code>），SELinux 是在 DAC（自主访问控制）之上的 MAC（强制访问控制）机制。</li>
<li><strong><code>ls -l</code> 列出的文件信息存放在什么地方？</strong> 存放在文件的 inode（索引节点）中，包括文件类型、权限、链接数、UID、GID、大小、时间戳和数据块指针；文件名不在 inode 中，而在目录项里。</li>
<li><strong>目录也是文件，目录里面存放的是什么内容？目录里文件的数据存放在目录里吗？</strong> 目录的数据块中存放的是「文件名 → inode 号」的映射表（目录项），并不存放文件本身的数据；文件数据存放在各自 inode 指向的数据块中。</li>
<li><strong>文件的 link 数目代表什么？删除文件操作和这个数目有什么关系？当数目减到零时会发生什么？</strong> link 数是指向该 inode 的硬链接（目录项）数量。<code>rm</code> 实际是删除一个目录项并把链接数减 1；当链接数减到 0 且没有进程打开该文件时，inode 与数据块才被真正释放。</li>
<li><strong>获取一个文件的文件名需要什么权限？</strong> 需要对其所在<strong>目录</strong>有 <code>r</code> 权限（读取目录项）。</li>
<li><strong>获取文件的大小、所有者、时间等元数据信息需要什么权限？</strong> 需要对其所在<strong>目录</strong>有 <code>x</code> 权限（用于解析路径、读取 inode），仅有 <code>r</code> 只能看到文件名而看不到详细属性。</li>
</ol>
<hr />
<h2>十四、命令速查表</h2>
<h3>用户与组</h3>
<table>
<thead>
<tr>
<th>操作</th>
<th>命令</th>
</tr>
</thead>
<tbody>
<tr>
<td>创建用户</td>
<td><code>useradd &lt;user&gt;</code> / <code>adduser &lt;user&gt;</code></td>
</tr>
<tr>
<td>创建用户并指定主组</td>
<td><code>useradd -g &lt;group&gt; &lt;user&gt;</code></td>
</tr>
<tr>
<td>设置密码</td>
<td><code>passwd &lt;user&gt;</code></td>
</tr>
<tr>
<td>删除用户</td>
<td><code>userdel -r &lt;user&gt;</code></td>
</tr>
<tr>
<td>切换用户</td>
<td><code>su - &lt;user&gt;</code></td>
</tr>
<tr>
<td>查看用户信息</td>
<td><code>id &lt;user&gt;</code></td>
</tr>
<tr>
<td>查看在线用户</td>
<td><code>who</code> / <code>w</code></td>
</tr>
<tr>
<td>修改 UID</td>
<td><code>usermod -u &lt;UID&gt; &lt;user&gt;</code></td>
</tr>
<tr>
<td>修改 GID（主组）</td>
<td><code>usermod -g &lt;GID&gt; &lt;user&gt;</code></td>
</tr>
<tr>
<td>追加附加组</td>
<td><code>usermod -aG &lt;group&gt; &lt;user&gt;</code></td>
</tr>
<tr>
<td>修改家目录</td>
<td><code>usermod -d &lt;dir&gt; &lt;user&gt;</code></td>
</tr>
<tr>
<td>修改登录 Shell</td>
<td><code>usermod -s &lt;shell&gt; &lt;user&gt;</code></td>
</tr>
<tr>
<td>修改用户名</td>
<td><code>usermod -l &lt;new&gt; &lt;old&gt;</code></td>
</tr>
<tr>
<td>锁定用户</td>
<td><code>passwd -l &lt;user&gt;</code> / <code>usermod -L &lt;user&gt;</code></td>
</tr>
<tr>
<td>解锁用户</td>
<td><code>passwd -u &lt;user&gt;</code> / <code>usermod -U &lt;user&gt;</code></td>
</tr>
<tr>
<td>查看密码策略</td>
<td><code>chage -l &lt;user&gt;</code></td>
</tr>
<tr>
<td>强制下次登录改密码</td>
<td><code>chage -d 0 &lt;user&gt;</code></td>
</tr>
<tr>
<td>创建组</td>
<td><code>groupadd &lt;group&gt;</code></td>
</tr>
<tr>
<td>删除组</td>
<td><code>groupdel &lt;group&gt;</code></td>
</tr>
<tr>
<td>修改组 GID</td>
<td><code>groupmod -g &lt;GID&gt; &lt;group&gt;</code></td>
</tr>
<tr>
<td>添加用户到组</td>
<td><code>gpasswd -a &lt;user&gt; &lt;group&gt;</code></td>
</tr>
<tr>
<td>设置组管理员</td>
<td><code>gpasswd -A &lt;user&gt; &lt;group&gt;</code></td>
</tr>
<tr>
<td>查看所属组</td>
<td><code>groups [user]</code></td>
</tr>
<tr>
<td>临时切换有效组</td>
<td><code>newgrp &lt;group&gt;</code></td>
</tr>
</tbody>
</table>
<h3>权限</h3>
<table>
<thead>
<tr>
<th>操作</th>
<th>命令</th>
</tr>
</thead>
<tbody>
<tr>
<td>修改权限</td>
<td><code>chmod 755 &lt;file&gt;</code></td>
</tr>
<tr>
<td>符号方式修改</td>
<td><code>chmod u+x,g+r,o-r &lt;file&gt;</code></td>
</tr>
<tr>
<td>递归修改权限</td>
<td><code>chmod -R 755 &lt;dir&gt;</code></td>
</tr>
<tr>
<td>修改属主/属组</td>
<td><code>chown &lt;user&gt;:&lt;group&gt; &lt;file&gt;</code></td>
</tr>
<tr>
<td>仅修改属组</td>
<td><code>chgrp &lt;group&gt; &lt;file&gt;</code></td>
</tr>
<tr>
<td>递归修改属主</td>
<td><code>chown -R &lt;user&gt;:&lt;group&gt; &lt;dir&gt;</code></td>
</tr>
<tr>
<td>查看/设置掩码</td>
<td><code>umask</code> / <code>umask 0022</code></td>
</tr>
<tr>
<td>设置 SUID</td>
<td><code>chmod u+s &lt;file&gt;</code></td>
</tr>
<tr>
<td>设置 SGID</td>
<td><code>chmod g+s &lt;dir&gt;</code></td>
</tr>
<tr>
<td>设置 Sticky</td>
<td><code>chmod o+t &lt;dir&gt;</code></td>
</tr>
<tr>
<td>设置 ACL</td>
<td><code>setfacl -m u:&lt;user&gt;:rwx &lt;file&gt;</code></td>
</tr>
<tr>
<td>递归设置 ACL</td>
<td><code>setfacl -Rm u:&lt;user&gt;:rwx &lt;dir&gt;</code></td>
</tr>
<tr>
<td>查看 ACL</td>
<td><code>getfacl &lt;file&gt;</code></td>
</tr>
<tr>
<td>清除全部 ACL</td>
<td><code>setfacl -b &lt;file&gt;</code></td>
</tr>
<tr>
<td>设置不可变属性</td>
<td><code>chattr +i &lt;file&gt;</code></td>
</tr>
<tr>
<td>设置只追加属性</td>
<td><code>chattr +a &lt;file&gt;</code></td>
</tr>
<tr>
<td>查看隐藏属性</td>
<td><code>lsattr &lt;file&gt;</code></td>
</tr>
</tbody>
</table>
<hr />
<h2>十五、注意事项</h2>
<ol>
<li>root 用户的 UID 必须为 <code>0</code>，且系统中应保持唯一。</li>
<li>删除用户建议使用 <code>userdel -r</code>，避免残留家目录和邮件文件。</li>
<li>修改用户家目录前务必备份数据，并确保用户已登出和被锁定。</li>
<li>新建用户默认无密码（CentOS），必须用 <code>passwd</code> 设置后才能登录；切勿用清空 <code>/etc/shadow</code> 密码字段的方式实现免密。</li>
<li>对公共目录授 <code>w</code> 权限需特别谨慎，建议配合 Sticky 位使用；公开目录权限不要超过 <code>755</code>。</li>
<li><code>sudoers</code> 文件务必使用 <code>visudo</code> 编辑，以避免语法错误导致无法提权；命令须写绝对路径。</li>
<li><code>usermod -G</code> 会覆盖原有附加组，追加请务必使用 <code>-aG</code>；<code>gpasswd -A</code>/<code>-M</code> 同样是覆盖语义。</li>
<li>不能删除某用户的主组，需先删除该用户。</li>
<li>ACL 权限在跨分区复制时可能丢失，重要文件建议使用 <code>cp -p</code>；CentOS 6 的新分区可能需要手动开启 ACL，CentOS 7 的 XFS 默认已启用。</li>
<li><code>chattr +i</code> 可以阻止包括 root 在内的所有用户直接修改或删除文件，但并非绝对不可逆：root（具备 <code>CAP_LINUX_IMMUTABLE</code> 权限）仍可执行 <code>chattr -i</code> 解除后再操作，因此它是「防误操作」手段，不能当作安全边界；解除前请确认业务影响。</li>
<li><code>umask</code> 的正确算法是「默认权限 AND (NOT umask)」，不要用异或或减法。</li>
<li>给 <code>cat</code>、<code>vim</code> 等通用命令加 SUID/SGID 属于极高危操作，实验后必须立即恢复。</li>
</ol>

Linux 用户与权限管理

本章要点

一、用户与组的概念分类

1.1 用户分类

1.2 UID/GID 取值范围配置文件

CentOS / RHEL：/etc/login.defs

Ubuntu：/etc/adduser.conf

1.3 组的分类：主组与附加组

1.4 用户与组相关配置文件总览

二、四个核心配置文件字段详解

2.1 /etc/passwd

迁移（移动）用户家目录的一般步骤

2.2 /etc/shadow

忘记 root 密码的处理思路

密码过期后还能登录吗

2.3 /etc/group

2.4 /etc/gshadow

三、用户管理命令

3.1 创建用户：useradd / adduser

3.2 修改用户密码：passwd

3.3 修改用户信息：usermod

3.4 删除用户：userdel

3.5 密码策略：chage

3.6 查看用户信息：id

3.7 查看在线登录用户：w / who

3.8 批量创建与删除用户

3.9 手工创建用户（不使用 useradd）

四、组管理命令

4.1 groupadd / groupdel / groupmod

4.2 gpasswd

4.3 groups

4.4 newgrp

五、身份切换：su 与 sudo

5.1 su

5.2 sudo 授权

授权流程

sudo 规则格式

授权示例

六、文件权限

6.1 ls -l 解读

权限字符的含义

6.2 二进制与八进制权限

6.3 修改权限：chmod

6.4 权限判断顺序

6.5 修改所有权：chown / chgrp

七、特殊权限：SUID / SGID / Sticky

7.1 对可执行文件设置 SUID / SGID

7.2 对目录设置 SGID

7.3 粘贴位：Sticky

7.4 特殊权限的大小写显示

八、ACL 扩展权限：getfacl / setfacl

8.1 设置 ACL 权限：setfacl

8.2 查看 ACL 权限：getfacl

8.3 ACL 判断顺序

8.4 删除 ACL 权限

8.5 复制时保留 ACL

九、权限掩码：umask

9.1 正确的计算方式

9.2 关于「异或算法」的常见误区

十、文件隐藏属性：chattr / lsattr

十一、环境变量、命令别名与命令历史

11.1 查看变量

11.2 用户环境变量配置文件

11.3 全局环境变量配置文件

11.4 命令历史：history

11.5 命令别名：alias

11.6 常用 Bash 快捷键

十二、练习题与参考答案

PPP1：用户增删改查

PPP2：批量创建与删除用户

PPP3：用户管理综合操作

PPP4：sudo 授权

PPP5：组管理综合操作

PPP6：移动用户家目录

PPP7：无密码登录

PPP8：两种方法给用户改名

PPP9：文件权限管理（chmod 符号模式）

PPP10：SUID / SGID / Sticky

PPP11：数字方式设置权限

PPP12：gid 与 groups 的区别

CentOS / RHEL：`/etc/login.defs`

Ubuntu：`/etc/adduser.conf`