在Linux系统中，目录权限管理是保障系统安全与文件共享的核心环节，尤其对于多用户或多项目环境，合理设置子目录权限能有效避免数据泄露或误操作，本文将详细讲解Linux中设置子目录权限的方法，涵盖基础命令、高级技巧及常见场景,帮助用户全面掌握权限管理技能。
Linux权限基础：理解用户、组与权限位
Linux权限管理基于“用户-用户组-其他”的三级模型，每个文件/目录都关联一个所有者（user）、所属组（group）及其他用户（others），每类用户拥有读（r）、写（w）、执行（x）三种基本权限，对于目录而言，“读”允许查看目录内容列表，“写”允许创建/删除目录内的文件/子目录，“执行”允许进入目录（cd操作），权限可通过ls -l命令查看，
drwxr-xr-x 2 user group 4096 Oct 1 10:30 subdird表示目录，后续9个字符分为三组（所有者、组、其他），每组r-x分别对应读、执行权限,无写权限。
核心命令：chmod、chown与chgrp
chmod：修改权限位
chmod（change mode）是修改文件/目录权限的核心命令，支持符号模式和数字模式。
- 符号模式：通过
u（所有者）、g（组）、o（其他）、a（所有用户）+（添加）、（移除）、（设置）+r/w/x组合操作。chmod u+w subdir # 给所有者添加写权限 chmod g-r subdir # 移除组的读权限 chmod a=rwx subdir # 设置所有用户都有读写执行权限
- 数字模式：用数字代替权限符号，
r=4、w=2、x=1，相加后得到三位数（所有者|组|其他）。chmod 755 subdir # 所有者7（rwx），组5（r-x），其他5（r-x） chmod 644 file.txt # 文件所有者6（rw-），组和其他4（r--）
- 递归设置子目录：使用
-R参数可递归修改目录及其所有子目录/文件的权限，需谨慎使用，避免误操作：chmod -R 755 /path/to/parent_dir # 递归设置父目录及其所有子目录权限为755
chown：修改所有者
chown（change owner）用于修改文件/目录的所有者，常与chgrp结合使用。
- 仅修改所有者：
chown newuser subdir # 将subdir的所有者改为newuser
- 同时修改所有者与所属组：
chown newuser:newgroup subdir # 所有者设为newuser，所属组设为newgroup
- 递归修改子目录：
chown -R newuser:newgroup /path/to/parent_dir # 递归修改父目录及其子目录的所有者和组
chgrp：修改所属组
chgrp（change group）专门用于修改所属组，语法简单：
chgrp newgroup subdir # 将subdir的所属组改为newgroup chgrp -R newgroup /path/to/parent_dir # 递归修改所属组
高级权限管理：ACL（访问控制列表）
当需要为不同用户或组设置差异化权限时，传统的“用户-组-其他”模型无法满足需求，此时需使用ACL（Access Control List），ACL允许为指定用户/组分配独立权限,支持递归继承和默认权限设置。
查看与启用ACL
- 查看目录ACL：
getfacl subdir
输出示例：
# file: subdir # owner: user # group: group # flags: -s- # 表示启用默认ACL user::rwx group::r-x other::r-x default:user::rwx # 默认ACL：新建文件/目录继承此权限 default:group::r-x default:other::r-x - 启用ACL：若文件系统不支持ACL（如ext4默认已支持），可通过
mount命令挂载时添加acl参数，或修改/etc/fstab确保永久启用。
设置ACL规则
- 为指定用户设置权限：
setfacl -m u:specificuser:rw subdir # 给用户specificuser添加读写权限
- 为指定组设置权限：
setfacl -m g:specificgroup:r-x subdir # 给组specificgroup添加读执行权限
- 递归设置子目录/文件：
setfacl -R -m u:specificuser:rw /path/to/parent_dir # 递归给用户添加读写权限
- 设置默认ACL（新建文件/目录继承）：
setfacl -d -m g:specificgroup:rw /path/to/parent_dir # 新建文件/目录继承组的读写权限
- 删除ACL规则：
setfacl -x u:specificuser subdir # 删除用户specificuser的ACL规则 setfacl -b subdir # 清除所有ACL规则（保留基础权限）
权限符号与数字对应表
| 权限符号 | 数字表示 | 说明 |
|---|---|---|
| r | 4 | 读（read） |
| w | 2 | 写（write） |
| x | 1 | 执行（execute） |
| 0 | 无权限 | |
| rwx | 7 | 读+写+执行 |
| rw- | 6 | 读+写 |
| r-x | 5 | 读+执行 |
| r– | 4 | 仅读 |
特殊权限：SUID、SGID与Sticky Bit
除基本权限外，Linux还支持三种特殊权限，适用于特定场景：
- SUID（Set User ID）：仅对文件有效，执行时以文件所有者身份运行（如
/usr/bin/passwd）。 - SGID（Set Group ID）：对文件/目录有效，文件执行时以所属组身份运行；目录新建文件/目录时继承父目录所属组。
- Sticky Bit：仅对目录有效，防止其他用户删除他人文件（如
/tmp目录）。
设置特殊权限
- 符号模式：
chmod u+s file # 设置SUID chmod g+s dir # 设置SGID chmod +t dir # 设置Sticky Bit
- 数字模式：在普通权限前加4（SUID）、2（SGID）、1（Sticky Bit），
chmod 4755 file # SUID+所有者rwx，组/其他r-x chmod 2775 dir # SGID+所有者/组rwx，其他rwx chmod 1777 dir # Sticky Bit+所有者/组/其他rwx
注意事项与最佳实践
- 谨慎使用递归修改：
chmod -R、chown -R会递归影响所有子目录/文件，建议先在小范围测试，或通过find命令排除特定文件（如find /path -type f -name "*.log" -exec chmod 644 {} ;仅修改.log文件）。 - 最小权限原则：仅分配必要的权限，避免过度开放（如公共目录可设755，私有数据目录设700）。
- 定期审计权限：通过
getfacl和ls -l定期检查敏感目录权限，及时发现异常修改。 - 备份重要数据：修改权限前，建议通过
cp -a备份目录，避免误操作导致数据无法访问。
相关问答FAQs
Q1: 递归设置子目录权限时，如何排除某些特定子目录或文件？
A: 可结合find命令的-path或-name参数排除特定路径，仅设置/parent_dir下除temp子目录外的所有目录权限为755：
find /parent_dir -path "*/temp" -prune -o -type d -exec chmod 755 {} ;
解释：-path "*/temp" -prune会跳过temp子目录，-o连接后续条件，-type d仅匹配目录，-exec对匹配结果执行chmod。
Q2: 如何恢复子目录权限到默认状态（如继承父目录权限）？
A: 若父目录设置了默认ACL，子目录可能已继承权限；若需手动重置，可通过以下方式：
- 清除ACL规则（保留基础权限）：
setfacl -b /path/to/subdir
- 重新设置基础权限（如755）：
chmod 755 /path/to/subdir
- 若需继承父目录的默认ACL，确保父目录已设置
default规则，并在子目录上执行：setfacl -d -m u::rwx,g::rwx,o::r-x /path/to/subdir # 设置默认ACL
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/30982.html
