linux实现多用户文件访问控制依赖传统权限系统和acl，通过结合两者及权限继承机制实现灵活管理。1. 查看acl使用getfacl命令，如getfacl filename；2. 设置acl使用setfacl命令，如setfacl -m u:username:rwx filename；3. 权限继承通过目录默认acl实现，新文件自动继承父目录权限；4. acl不生效可能因文件系统不支持、umask冲突、条目冲突、权限覆盖、缓存问题；5. 精细控制可通过指定用户/组权限、默认acl、权限掩码、结合setuid/setgid实现；6. 备份恢复acl可使用getfacl -r与setfacl --restore命令。
Linux实现多用户文件访问控制，主要依赖于传统的权限系统（用户、组、其他人的读、写、执行权限）以及更高级的ACL（Access Control Lists，访问控制列表）。ACL提供了更精细的权限控制，允许你为特定用户或组设置针对文件的权限，超越了传统的“拥有者、群组、其他人”的三分法。此外，权限继承机制也很重要，它决定了新建文件或目录如何从其父目录继承权限，影响着整个文件系统的权限结构。
解决方案：
Linux通过结合传统的权限系统和ACL，以及权限继承机制，实现了灵活的多用户文件访问控制。
如何查看Linux文件或目录的ACL？
使用
getfacl命令可以查看文件或目录的ACL。例如，
getfacl filename会显示该文件的所有ACL条目，包括所有者、所属组以及任何额外的用户或组的权限。如果输出只显示了基础权限（user, group, other），则说明该文件没有设置ACL。
getfacl -p filename可以显示权限，并去掉注释行。
如何设置Linux文件或目录的ACL？
使用
setfacl命令可以设置文件或目录的ACL。几个常用的选项：
-m
：修改ACL条目。例如，setfacl -m u:username:rwx filename
给用户username设置对filename的读、写、执行权限。-x
：删除ACL条目。例如，setfacl -x u:username filename
删除用户username的ACL条目。-b
：移除所有扩展ACL条目，只保留基本权限。-k
：移除默认ACL。-d
：设置默认ACL，应用于目录。例如，setfacl -d -m u:username:rwx directoryname
设置目录directoryname的默认ACL，使得在该目录下创建的新文件和目录自动继承该ACL。-R
：递归地设置ACL，应用于目录及其所有子文件和子目录。谨慎使用，特别是与-b
或-k
一起使用。
例如，要给用户
alice对目录
/data/project及其所有子目录和文件读写权限，可以这样操作：
setfacl -R -m u:alice:rwx /data/project
Linux的权限继承机制是如何工作的？
权限继承机制主要体现在新创建的文件和目录如何从其父目录继承权限。默认情况下，新文件会继承其父目录的所属组，并且权限由创建者的umask值决定。对于目录，如果父目录设置了默认ACL（使用
setfacl -d），那么新创建的文件和目录会继承这些默认ACL。这使得在共享目录下创建文件时，可以自动应用预定义的权限策略，方便协作。
例如，如果一个目录的默认ACL设置为允许特定用户组具有读写权限，那么在该目录下创建的所有新文件和目录都会自动继承这些权限，无需手动设置每个文件的权限。但是，需要注意的是，umask值仍然会影响最终的权限，因此需要合理设置umask。
如何解决ACL权限设置后不生效的问题？
ACL权限设置后不生效，可能有以下几个原因：
-
文件系统不支持ACL： 确保文件系统挂载时启用了ACL支持。可以使用
mount | grep acl
命令查看文件系统是否启用了ACL。如果没有启用，需要修改/etc/fstab
文件，添加acl
选项，然后重新挂载文件系统。例如，将/dev/sda1 /data ext4 defaults 0 0
修改为/dev/sda1 /data ext4 defaults,acl 0 0
。 -
umask设置冲突： umask值会影响新创建文件的权限。确保umask值不会过度限制ACL设置的权限。可以使用
umask
命令查看和修改umask值。 -
ACL条目冲突： 检查ACL条目是否存在冲突。例如，如果一个用户同时拥有允许和拒绝权限，可能会导致权限混乱。使用
getfacl
命令查看ACL条目，并使用setfacl
命令修改或删除冲突的条目。 -
文件权限覆盖ACL： 传统的Linux权限（所有者、群组、其他人的权限）可能会覆盖ACL设置。确保文件权限不会阻止ACL设置的权限生效。可以使用
chmod
命令修改文件权限。 -
缓存问题： 在某些情况下，文件系统缓存可能会导致ACL设置没有立即生效。可以尝试卸载并重新挂载文件系统，或者使用
sync
命令刷新缓存。
如何使用ACL实现更精细的权限控制？
ACL可以实现比传统权限系统更精细的权限控制，例如：
- 为特定用户或组设置权限： 可以为单个用户或组设置对文件的读、写、执行权限，而无需将他们添加到文件的所属组。
- 设置默认ACL： 可以为目录设置默认ACL，使得在该目录下创建的新文件和目录自动继承这些权限，方便协作。
-
使用权限掩码： 可以使用权限掩码（mask）限制ACL允许的最大权限。例如，如果mask设置为
r-x
，那么所有ACL条目的写权限都会被禁用。可以使用setfacl -m m::rx filename
设置mask。 - 结合setuid和setgid： 可以结合setuid和setgid位，使得程序以文件所有者或所属组的身份运行，从而实现更复杂的权限控制。
例如，在一个Web服务器环境中，可以使用ACL来控制不同用户对Web目录的访问权限，允许特定用户上传文件，而禁止其他用户访问敏感文件。
如何备份和恢复ACL权限？
备份和恢复ACL权限，可以使用
getfacl和
setfacl命令结合重定向和管道操作。
-
备份ACL： 使用
getfacl -R directory > acl.txt
命令可以备份目录及其所有子目录和文件的ACL权限到文件acl.txt
。 -
恢复ACL： 使用
setfacl --restore=acl.txt
命令可以从文件acl.txt
恢复ACL权限。
在备份ACL之前，最好先备份文件系统本身，以防止数据丢失。恢复ACL时，确保目标文件系统支持ACL，并且文件和目录的结构与备份时相同。
