权限管理 

chown

chown 命令： 设置文件所有者和文件关联组的命令
chown [-cfhvR] [--help] [--version] user[:group] file...

user : 新的文件拥有者的使用者 ID
group : 新的文件拥有者的使用者组(group)
-c : 显示更改的部分的信息
-f : 忽略错误信息
-h :修复符号链接
-v : 显示详细的处理信息
-R : 处理指定目录以及其子目录下的所有文件
--help : 显示辅助说明
--version : 显示版本

 chmod

chmod 命令：控制用户对文件的权限的命令

chmod [-cfvR] [--help] [--version] mode file...

u 表示该文件的拥有者，
g 表示与该文件的拥有者属于同一个群体(group)者，
o 表示其他以外的人，
a 表示这三者皆是。

+ 表示增加权限、
- 表示取消权限、
= 表示唯一设定权限。

r 表示可读取，
w 表示可写入，
x 表示可执行，
X 表示只有当该文件是个子目录或者该文件已经被设定过为可执行。

7 读 + 写 + 执行 rwx 111
6 读 + 写 rw- 110
5 读 + 执行 r-x 101
4 只读 r-- 100
3 写 + 执行 -wx 011
2 只写 -w- 010
1 只执行 --x 001
0 无 --- 000

其他参数说明：
-c : 若该文件权限确实已经更改，才显示其更改动作
-f : 若该文件权限无法被更改也不要显示错误讯息
-v : 显示权限变更的详细资料
-R : 对目前目录下的所有文件与子目录进行相同的权限变更(即以递归的方式逐个变更)
--help : 显示辅助说明
--version : 显示版本

getfacl

getfacl 命令：查看(获取)文件访问控制列表（ACL列表）
getfacl [-aceEsRLPtpndvh] 文件 ...
getfacl [-aceEsRLPtpndvh] -

-a, --access 仅显示文件访问控制列表
-d, --default 仅显示默认的访问控制列表
-c, --omit-header 不显示注释表头
-e, --all-effective 显示所有的有效权限
-E, --no-effective 显示无效权限
-s, --skip-base 跳过只有基条目(base entries)的文件
-R, --recursive 递归显示子目录
-L, --logical 逻辑遍历(跟随符号链接)
-P, --physical 物理遍历(不跟随符号链接)
-t, --tabular 使用制表符分隔的输出格式
-n, --numeric 显示数字的用户/组标识
-p, --absolute-names 不去除路径前的 '/' 符号
-v, --version 显示版本并退出
-h, --help 显示本帮助信息

setfacl

setfacl 命令：设置文件访问控制列表（ACL列表）
setfacl [-bkndRLPvh] [{-m|-x} acl_spec] [{-M|-X} acl_file] file ...
setfacl --restore=file

-m, --modify=acl 　　　　更改文件的访问控制列表
-M, --modify-file=file  从文件读取访问控制列表条目更改
-x, --remove=acl 　　　　根据文件中访问控制列表移除条目
-X, --remove-file=file  从文件读取访问控制列表条目并删除
-b, --remove-all 　　　　删除所有扩展访问控制列表条目
-k, --remove-default 　　移除默认访问控制列表
　　　　--set=acl 　　设定替换当前的文件访问控制列表
　　--set-file=file 文件中读取访问控制列表条目设定
　　--mask 　　　　　　重新计算有效权限掩码
-n, --no-mask 　　不重新计算有效权限掩码
-d, --default 应用到默认访问控制列表的操作
-R, --recursive 递归操作子目录
-L, --logical 依照系统逻辑，跟随符号链接
-P, --physical 依照自然逻辑，不跟随符号链接
--restore=file 恢复访问控制列表，和“getfacl -R”作用相反
--test 测试模式，并不真正修改访问控制列表属性
-v, --version 显示版本并退出
-h, --help 显示本帮助信息

lsattr

lsattr 命令：显示文件属性
lsattr [-adlRvV][文件或目录...]

-a 　显示所有文件和目录，包括以"."为名称开头字符的额外内建，现行目录"."与上层目录".."。
-d 　显示，目录名称，而非其内容。
-l 　此参数目前没有任何作用。
-R 　递归处理，将指定目录下的所有文件及子目录一并处理。
-v 　显示文件或目录版本。
-V 　显示版本信息。

chattr

chattr 命令：改变文件属性
chattr [ -RVf ] [ -v version ] [ mode ] 文件...
 
a：让文件或目录仅供附加用途；
b：不更新文件或目录的最后存取时间；
c：将文件或目录压缩后存放；
d：将文件或目录排除在倾倒操作之外；
i：不得任意更动文件或目录；
s：保密性删除文件或目录；
S：即时更新文件或目录；
u：预防意外删除。

-R：递归处理，将指令目录下的所有文件及子目录一并处理；
-v<版本编号>：设置文件或目录版本；
-V：显示指令执行过程；
+<属性>：开启文件或目录的该项属性；
-<属性>：关闭文件或目录的该项属性；
=<属性>：指定文件或目录的该项属性。

 案例：

创建用户user1、user2、user3。在/data/下创建目录test
    //创建user1……3用户
        [root@host ~]# name=user;for i in {1..3};do useradd $name$i;done
    //创建data和test目录
        [root@host ~]# mkdir -p /data/test

(1)、目录/data/test属主、属组为user1
    //查看当前目录属主属组
        [root@host ~]# ll -d /data/test/
        drwxr-xr-x. 2 root root 4096 Oct 30 22:51 /data/test/
    //修改属主属组为user1
        [root@host ~]# chown user1:user1 /data/test/
    //查看修改后的目录属主属组
        [root@host ~]# ll -d /data/test/
        drwxr-xr-x. 2 user1 user1 4096 Oct 30 22:51 /data/test/

(2)、在目录属主、属组不变的情况下，user2对文件有读写权限
    //查看默认的权限
        [root@host ~]# ll -d /data/test/
        drwxr-xr-x. 2 user1 user1 4096 Oct 30 22:51 /data/test/
        //查看默认的acl权限
        [root@host ~]# getfacl /data/test/
        getfacl: Removing leading '/' from absolute path names
        # file: data/test/
        # owner: user1
        # group: user1
        user::rwx
        group::r-x
        other::r-x
    //设置user2用户对/data/test/目录具有读写权限
        [root@host ~]# setfacl -m u:user2:rw /data/test/
    //查看修改后的acl权限
        [root@host ~]# getfacl /data/test/
        getfacl: Removing leading '/' from absolute path names
        # file: data/test/
        # owner: user1
        # group: user1
        user::rwx
        user:user2:rw-
        group::r-x
        mask::rwx
        other::r-x
 
(3)、user1在/data/test目录下创建文件a1.sh, a2.sh, a3.sh, a4.sh，
设置所有用户都不可删除1.sh，2.sh文件、除了user1及root之外，所有用户都不可删除a3.sh, a4.sh

    //创建所需要的文件病查看
        [root@host ~]# touch /data/test/a{1..4}.sh
        [root@host ~]# ls /data/test/
        a1.sh a2.sh a3.sh a4.sh

     
    //修改文件属性，给1和2文件增加不可删除属性并查看
        [root@host ~]# chattr +i /data/test/a{1..2}.sh
        [root@host ~]# lsattr /data/test/
        -------------e-- /data/test/a3.sh
        ----i--------e-- /data/test/a1.sh
        -------------e-- /data/test/a4.sh
        ----i--------e-- /data/test/a2.sh
    //对文件尝试删除，删除失败
        [user2@host ~]# rm /data/test/a1.sh
        rm: remove regular empty file ‘/data/test/a1.sh’? y
        rm: cannot remove ‘/data/test/a1.sh’: Operation not permitted
     
    //为文件加上sticky标志
    //设置sticky bit位后，就算用户对目录具有写权限，但也只能添加文件而不能删除文件
        [root@host ~]# chmod o+t /data/test/a{3..4}.sh
        [root@host ~]# ll /data/test/
        total 0
        -rw-r--r--. 1 root root 0 Oct 31 00:14 a1.sh
        -rw-r--r--. 1 root root 0 Oct 31 00:14 a2.sh
        -rw-r--r-T. 1 root root 0 Oct 31 00:14 a3.sh
        -rw-r--r-T. 1 root root 0 Oct 31 00:14 a4.sh
    //尝试删除
        [test1@host ~]$ rm /data/test/a3.sh
        rm: cannot remove ‘/data/test/a3.sh’: Permission denied


(4)、user3增加附加组user1，同时要求user1不能访问/data/test目录及其下所有文件
    //查看当前user3组信息
        [root@host ~]# id user3
        uid=1004(user3) gid=1004(user3) groups=1004(user3)
    //为user3增加附加组user1
        [root@host ~]# usermod -G user1 user3
    //确认增加附加组的user3
        [root@host ~]# id user3
        uid=1004(user3) gid=1004(user3) groups=1004(user3),1002(user1)
    //查看当前文件夹情况
        [root@host ~]# ll -d /data/test/
        drwxrwxr-x+ 2 user1 user1 4096 Oct 31 00:41 /data/test/
    //修改权限并去掉x权限
        [root@host ~]# chmod -x /data/test/
        [root@host ~]# ll -d /data/test/
        drw-rw-r--+ 2 user1 user1 4096 Oct 31 00:41 /data/test/
    //切换user1并尝试访问文件夹
        [root@host ~]# su - user1
        [user1@host ~]$ cd /data/test/
        -bash: cd: /data/test/: Permission denied

 
(5)、清理/data/test目录及其下所有文件的acl权限
    //查看/data/test/默认acl权限表
        [root@host ~]# getfacl /data/test/
        getfacl: Removing leading '/' from absolute path names
        # file: data/test/
        # owner: user1
        # group: user1
        user::rw-
        user:user2:rw-
        user:user3:rw-
        group::r--
        other::r--
    //递归删除扩展访问所有权限
        [root@host ~]# setfacl -R -b /data/test/
    //查看删除后的情况
        [root@host ~]# getfacl /data/test/
        getfacl: Removing leading '/' from absolute path names
        # file: data/test/
        # owner: user1
        # group: user1
        user::rw-
        group::r--
        other::r--