Linux中ACL可实现更细粒度的文件权限控制，通过setfacl和getfacl命令设置和查看权限，需安装acl包并在支持ACL的文件系统上使用，权限掩码（mask）限制实际生效权限，默认ACL可实现继承，ACL优先级高于传统组权限但不覆盖文件所有者权限。
Linux 使用 ACL 可以更细致地控制文件和目录的权限，超越了传统的用户、组和其他用户的权限设置。
使用 ACL，你可以为特定的用户或组设置额外的权限，例如只允许某个用户读取文件，或者允许某个组修改目录下的文件。这在多人协作的环境中非常有用。
ACL 的主要命令是
setfacl和
getfacl。
setfacl用于设置 ACL 权限，
getfacl用于查看 ACL 权限。
如何安装 ACL 工具？
在大多数 Linux 发行版中，ACL 工具默认没有安装。你需要手动安装
acl包。
-
Debian/Ubuntu:
sudo apt-get update sudo apt-get install acl
-
CentOS/RHEL/Fedora:
sudo yum install acl # 或者 sudo dnf install acl
安装完成后，建议重新挂载文件系统，以确保 ACL 功能被正确启用。不过通常情况下，重启系统是最简单的方案。
如何查看文件或目录的 ACL 权限？
使用
getfacl命令可以查看文件或目录的 ACL 权限。例如，要查看文件
test.txt的 ACL 权限，可以运行：
getfacl test.txt
输出可能如下所示：
# file: test.txt # owner: user1 # group: group1 user::rw- user:user2:r-- group::r-- group:group2:--x mask::rwx other::r--
file
: 文件名。owner
: 文件所有者。group
: 文件所属组。user::rw-
: 文件所有者的权限（读写）。user:user2:r--
: 用户user2
的权限（只读）。group::r--
: 文件所属组的权限（只读）。group:group2:--x
: 组group2
的权限（执行）。mask::rwx
: 权限掩码，用于限制最大有效权限。other::r--
: 其他用户的权限（只读）。
如何设置文件或目录的 ACL 权限？
使用
setfacl命令可以设置文件或目录的 ACL 权限。
-
给特定用户设置权限:
setfacl -m u:user2:rw- test.txt
这条命令给用户
user2
设置了对文件test.txt
的读写权限。-m
选项表示修改 ACL，u:user2:rw-
表示用户user2
的权限为读写。 -
给特定组设置权限:
setfacl -m g:group2:r-- test.txt
这条命令给组
group2
设置了对文件test.txt
的只读权限。g:group2:r--
表示组group2
的权限为只读。 -
移除特定用户或组的 ACL 权限:
setfacl -x u:user2 test.txt
这条命令移除用户
user2
对文件test.txt
的 ACL 权限。-x
选项表示移除 ACL。 -
设置默认 ACL 权限:
默认 ACL 权限用于设置目录中新建文件和子目录的默认权限。
setfacl -d -m u:user2:rwX directory
这条命令给目录
directory
设置了默认 ACL 权限，用户user2
在该目录下创建的文件和子目录将默认拥有读写权限。注意X
权限，它表示只有当目录本身具有执行权限时，才赋予新建的文件执行权限。 -
递归设置 ACL 权限:
setfacl -R -m u:user2:r-- directory
这条命令递归地给目录
directory
及其所有子文件和子目录设置 ACL 权限，用户user2
将拥有只读权限。-R
选项表示递归设置。
如何理解 ACL 中的权限掩码 (mask)？
ACL 中的权限掩码 (mask) 用于限制 ACL 权限的最大有效值。换句话说，即使你给用户或组设置了很高的权限，最终生效的权限也不会超过权限掩码所允许的范围。
例如，如果权限掩码设置为
r--，那么即使你给用户设置了
rw-权限，最终用户也只能拥有
r--权限。
可以使用
setfacl命令修改权限掩码：
setfacl -m m::rwx test.txt
这条命令将文件
test.txt的权限掩码设置为
rwx。
如何删除文件或目录的所有 ACL 权限？
使用
setfacl命令的
-b选项可以删除文件或目录的所有 ACL 权限：
setfacl -b test.txt
这条命令会删除文件
test.txt的所有 ACL 权限，只保留文件所有者、文件所属组和其他用户的基本权限。
ACL 权限与传统权限的优先级是怎样的？
ACL 权限会覆盖传统权限设置。如果一个用户拥有 ACL 权限，那么 ACL 权限将优先于该用户的所属组和其他用户的权限。
但是，文件所有者的权限始终有效，不受 ACL 影响。
如何处理 ACL 权限的继承问题？
默认情况下，新建的文件和目录不会自动继承父目录的 ACL 权限。要实现 ACL 权限的继承，需要在父目录上设置默认 ACL 权限。
例如：
setfacl -d -m u:user2:rwX directory
这条命令给目录
directory设置了默认 ACL 权限，用户
user2在该目录下创建的文件和子目录将自动继承读写权限。
在使用 ACL 时可能遇到的问题及解决方案
-
问题：
setfacl: Operation not supported
错误这个错误通常表示文件系统不支持 ACL。确保文件系统已经挂载并启用了 ACL 功能。可以使用
mount
命令查看文件系统的挂载选项，确保包含acl
选项。如果没有，需要重新挂载文件系统，或者修改/etc/fstab
文件，添加acl
选项。 -
问题：ACL 权限没有生效
可能是权限掩码 (mask) 限制了 ACL 权限的生效。可以使用
getfacl
命令查看权限掩码，并使用setfacl
命令修改权限掩码，使其允许所需的权限。 -
问题：递归设置 ACL 权限时出现错误
可能是由于某些文件或目录没有访问权限。确保当前用户具有足够的权限访问所有文件和目录，或者使用
sudo
命令运行setfacl
命令。
总的来说，ACL 提供了一种非常灵活和强大的权限管理机制，可以满足各种复杂的权限需求。掌握 ACL 的使用方法，可以更好地保护文件和目录的安全，提高系统的安全性。
