默認(rèn)權(quán)限 umask

[root@CentOS7 data]# touch file1 ; ll file1
-rw-r--r--. 1 root root 0 Oct  9 13:55 file1
[root@CentOS7 data]# mkdir dir1 ; ll dir1 -d
drwxr-xr-x. 2 root root 6 Oct  9 13:55 dir1

umask是什么

從上面的例子中可以發(fā)現(xiàn)，新建文件和目錄的默認(rèn)權(quán)限分別是644、755，為啥會(huì)這樣？這就要聊聊umask了，Linux系統(tǒng)中默認(rèn)的umask值是022，它直接影響了用戶創(chuàng)建的文件或目錄的默認(rèn)權(quán)限，它與chmod的效果剛好相反，umask是將文件的對(duì)應(yīng)權(quán)限位遮掩住，或者說是從文件的對(duì)應(yīng)權(quán)限位“拿走”相關(guān)權(quán)限，而chmod是給文件賦予相關(guān)權(quán)限。

創(chuàng)新互聯(lián)是專業(yè)的五河網(wǎng)站建設(shè)公司，五河接單;提供成都網(wǎng)站制作、成都網(wǎng)站設(shè)計(jì),網(wǎng)頁(yè)設(shè)計(jì),網(wǎng)站設(shè)計(jì),建網(wǎng)站,PHP網(wǎng)站建設(shè)等專業(yè)做網(wǎng)站服務(wù);采用PHP框架,可快速的進(jìn)行五河網(wǎng)站開發(fā)網(wǎng)頁(yè)制作和功能擴(kuò)展;專業(yè)做搜索引擎喜愛的網(wǎng)站,專業(yè)的做網(wǎng)站團(tuán)隊(duì),希望更多企業(yè)前來合作!

如何計(jì)算umask值

在Linux系統(tǒng)中，目錄最大的權(quán)限是777，文件最大的權(quán)限是666，因?yàn)榛诎踩?，新建的文件不允許有執(zhí)行權(quán)限，所以從文件的權(quán)限位來看，文件比目錄少了執(zhí)行（x）權(quán)限。
下面來設(shè)置不同的umask值并創(chuàng)建文件：

[root@CentOS7 data]# umask 222
[root@CentOS7 data]# touch file1 ; ll file1
-r--r--r-- 1 root root 0 Sep 30 16:41 file1

可以發(fā)現(xiàn)用666減去222就得到了444，但真的是這樣計(jì)算嗎？來看看下面的這個(gè)例子：

[root@CentOS7 data]# umask 123
[root@CentOS7 data]# touch file2 ; ll file2
-rw-r--r-- 1 root root 0 Sep 30 16:48 file2

[root@CentOS7 data]# mkdir dir1 ; ll dir1 -d
drw-r-xr-- 2 root root 6 Sep 30 16:49 dir1

從結(jié)果中可以發(fā)現(xiàn)新建的文件權(quán)限并不是666-123=543，而是644，而目錄的權(quán)限卻是正常減出來的值777-123=654，這是為啥呢？我們把文件的最大值666和umask值123轉(zhuǎn)換成二進(jìn)制對(duì)位展開來看下：

110 110 110-->666（文件最大權(quán)限值）  
001 010 011-->123（umask值）  
110 100 100-->644（新建文件的權(quán)限）  

從結(jié)果來看就驗(yàn)證了前面說的“umask是將文件的對(duì)應(yīng)權(quán)限位遮掩住”，1表示遮掩，0則反之。

為了方便記憶可以用下面的這種計(jì)算方法：
目錄：默認(rèn)權(quán)限是777減去umask值的結(jié)果
文件：默認(rèn)權(quán)限是666減去umask值，權(quán)限位對(duì)應(yīng)的值如果為奇數(shù)則加1，例如：666-123=543，其結(jié)果是644。

umask的使用方法

臨時(shí)生效：umask 022
永久生效：~/.bashrc（用戶設(shè)置，推薦），/etc/bashrc（全局設(shè)置）

有時(shí)候需要給新建的文件一個(gè)非常嚴(yán)格的權(quán)限，比如000，可以使用以下方法：

[root@CentOS7 data]# umask 666 ; touch file3
[root@CentOS7 data]# ll file3
---------- 1 root root 0 Sep 30 22:26 file3
[root@CentOS7 data]# umask
0666
or
[root@CentOS7 data]# touch file4 ; chmod 000 file4
[root@CentOS7 data]# ll file4
---------- 1 root root 0 Sep 30 22:33 file4

以上兩種方法雖然都能實(shí)現(xiàn)創(chuàng)建一個(gè)000權(quán)限的新文件，但是看起來都挺繁瑣的，尤其是前面的方法。如果只是臨時(shí)設(shè)置一下umask值，可以用下面這個(gè)方法：

[root@CentOS7 data]# (umask 666 ; touch file5)
[root@CentOS7 data]# ll file5
---------- 1 root root 0 Sep 30 22:42 file5
[root@CentOS7 data]# umask
0022

這種方式只是臨時(shí)的改一下umask值，而不會(huì)改變當(dāng)前的umask值。

特殊權(quán)限 suid sgid sticky

suid

功能：作用于可執(zhí)行的二進(jìn)制程序，用戶執(zhí)行此程序時(shí)，將繼承此程序所有者的權(quán)限。

一般情況下，文件能不能訪問取決于用戶的身份，而不是取決于文件本身。但是，有了suid權(quán)限的文件就不是這么一回事了，最明顯的就是/etc/shadow這個(gè)文件。我們都知道這個(gè)文件是用來保存用戶密碼的，默認(rèn)情況下，普通用戶對(duì)此文件沒有任何權(quán)限，但是當(dāng)用戶執(zhí)行passwd這個(gè)二進(jìn)制程序時(shí)卻能更改口令，同時(shí)也會(huì)將加密后的密碼保存到文件中，這正是passwd這個(gè)二進(jìn)制程序的特殊權(quán)限所在。

[hechunping@CentOS7 ~]$ ll /etc/shadow
---------- 1 root root 1271 Sep 30 23:18 /etc/shadow
[hechunping@CentOS7 ~]$ passwd
Changing password for user hechunping.
Changing password for hechunping.
(current) UNIX password: 
New password: 
Retype new password: 
passwd: all authentication tokens updated successfully.
[hechunping@CentOS7 ~]$ ll /etc/shadow
---------- 1 root root 1271 Sep 30 23:23 /etc/shadow

從上面的執(zhí)行結(jié)果中可以發(fā)現(xiàn)/etc/shadow文件的權(quán)限為000，但是普通用戶hechunping卻依然可以執(zhí)行passwd命令來更改自己的口令，也就是說這個(gè)文件的內(nèi)容也被更改了，不過從文件的權(quán)限來看是沒法更改的，這是怎么回事呢？這就是由于suid權(quán)限導(dǎo)致的，可以通過查看/usr/bin/passwd這個(gè)可執(zhí)行文件的權(quán)限來分析：

[root@CentOS7 data]# ll `which passwd`
-rwsr-xr-x. 1 root root 27832 Jun 10  2014 /usr/bin/passwd

可以看到這個(gè)可執(zhí)行的文件所有者段有個(gè)“s”，這就代表著suid這個(gè)特殊權(quán)限，它的作用就是當(dāng)用戶去執(zhí)行這個(gè)程序的時(shí)候會(huì)繼承所有者的權(quán)限，所以普通用戶hechunping也能更改自己的口令。

sgid

功能：

作用于可執(zhí)行的二進(jìn)制程序，用戶執(zhí)行此程序時(shí)，將繼承此程序所屬組的權(quán)限。

作用于目錄，在此目錄中新建文件和目錄的所屬組將自動(dòng)繼承父目錄的所屬組。

測(cè)試1：當(dāng)目錄的屬組為當(dāng)前用戶的主組時(shí)，目錄下新建文件的所屬組也是當(dāng)前用戶的主組；
[root@CentOS7 data]# ll /data/ -d
drwxr-xr-x 2 root root 19 Oct  1 13:18 /data/
[root@CentOS7 data]# touch test1 ; ll test1
-rw-r--r-- 1 root root 0 Oct  1 13:19 test1

測(cè)試2：更改目錄的屬組為其它組，目錄下新建文件的所屬組依然是當(dāng)前用戶的主組；
[root@CentOS7 data]# chgrp hechunping /data/ ; ll /data/ -d
drwxr-xr-x 2 root hechunping 32 Oct  1 13:19 /data/
[root@CentOS7 data]# touch test2 ; ll test2
-rw-r--r-- 1 root root 0 Oct  1 13:20 test2

測(cè)試3：當(dāng)目錄具有sgid權(quán)限時(shí)，目錄下新建文件和目錄的所屬組自動(dòng)繼承了父目錄的所屬組。
[root@CentOS7 data]# chmod g+s /data/ ; ll /data/ -d
drwxr-sr-x 2 root hechunping 45 Oct  1 13:20 /data/
[root@CentOS7 data]# touch test3 ; ll test3
-rw-r--r-- 1 root hechunping 0 Oct  1 13:21 test3
[root@CentOS7 data]# mkdir dir1 ; ll dir1 -d
drwxr-sr-x 2 root hechunping 6 Oct  1 13:23 dir1

sticky

功能：作用于目錄，該目錄下的文件只有文件所有者或root才能刪除。

測(cè)試1：給/data目錄777權(quán)限，root在該目錄下新建的文件普通用戶hechunping能刪除
[root@CentOS7 data]# chmod 777 /data/ ; ll /data/ -d 
drwxrwxrwx 2 root root 6 Oct  1 13:56 /data/
[root@CentOS7 data]# touch file1
[root@CentOS7 data]# su - hechunping
Last login: Tue Oct  1 13:52:22 CST 2019 on pts/0
[hechunping@CentOS7 ~]$ rm -rf /data/file1 
[hechunping@CentOS7 ~]$ ls /data/
[hechunping@CentOS7 ~]$ exit
logout

測(cè)試2：給/data目錄設(shè)置了sticky權(quán)限后，普通用戶hechunping無法刪除該目錄root用戶的文件，但是可以刪除自己的文件。
[root@CentOS7 data]# chmod o+t /data/ ; ll /data/ -d
drwxrwxrwt 2 root root 6 Oct  1 13:57 /data/
[root@CentOS7 data]# touch file2 
[root@CentOS7 data]# su - hechunping
Last login: Tue Oct  1 13:56:57 CST 2019 on pts/0
[hechunping@CentOS7 ~]$ rm -rf /data/file2 
rm: cannot remove ‘/data/file2’: Operation not permitted
[hechunping@CentOS7 ~]$ ll /data/
total 0
-rw-r--r-- 1 root root 0 Oct  1 13:58 file2

ps：在Linux系統(tǒng)中/tmp目錄默認(rèn)就設(shè)置了sticky權(quán)限

設(shè)定文件特定屬性

雖然說權(quán)限是給普通用戶設(shè)置的，但是有些文件設(shè)置了特殊屬性后，root也無法進(jìn)行刪除、更改等操作，通過chattr命令來實(shí)現(xiàn)。

chattr

更改Linux文件系統(tǒng)上的文件屬性

【例1】通過chattr命令來設(shè)置文件的屬性，實(shí)現(xiàn)無法刪除、更改內(nèi)容和重命名操作：

[root@CentOS7 data]# touch file1 ; chattr +i file1
[root@CentOS7 data]# rm -rf file1 
rm: cannot remove ‘file1’: Operation not permitted
[root@CentOS7 data]# mv file1 file1.bak
mv: cannot move ‘file1’ to ‘file1.bak’: Operation not permitted
[root@CentOS7 data]# echo "hello" >> file1 
-bash: file1: Permission denied

【例2】通過chattr命令來設(shè)置文件的屬性，實(shí)現(xiàn)只能追加內(nèi)容的操作：

[root@CentOS7 data]# touch file1;chattr +a file1
[root@CentOS7 data]# echo "hello" >> file1 
[root@CentOS7 data]# > file1 
-bash: file1: Operation not permitted
[root@CentOS7 data]# rm -rf file1 
rm: cannot remove ‘file1’: Operation not permitted
[root@CentOS7 data]# mv file1 file1.bak
mv: cannot move ‘file1’ to ‘file1.bak’: Operation not permitted
[root@CentOS7 data]# echo "world" >> file1

【例3】列出文件的特定屬性

[root@CentOS7 data]# lsattr file1 
-----a---------- file1

ps：如果要去掉用chattr設(shè)定的特定屬性，把“+”換成“-”即可。