Linux文件系统与权限：给数据装好门禁

可视化演示

动态演示Linux文件系统与权限ch的核心机制，通过入门/进阶/实战/优化四种模式展示关键概念与交互流程。

文件系统结构

一栋写字楼总要有清晰的布局，才能让每个人快速找到工位。大厅是总入口，每层走廊挂着房间号，越往里走门牌越具体。Linux 文件系统就是这栋楼：根目录 / 是大厅，/home 是员工宿舍区，/etc 是物业档案室，/tmp 是临时储物间，/var/log 是安保监控记录室。拿到一张路径，就相当于拿到一张“楼层-房间”的指引单。

路径怎么走？绝对路径从大厅前台开始数，比如 /home/alice/report.txt，无论你在哪都能按图索骥；相对路径从你当前站立的位置出发，比如你已经在 /home 下，说 alice/report.txt 就能到达。更妙的是，Linux 把磁盘、U 盘等设备也纳入这棵目录树——通过挂载操作，U 盘插入后挂载到 /media/usb，你访问这个目录就等于访问 U 盘。理解了“一切皆文件”的思想，目录是索引、文件是数据、设备也是文件，你就能沿着目录树一步步走到任何数据所在之处。

记住这栋楼的地图，你才知道权限要装在哪个房门上、门禁要管到哪一层。接下来我们就从大厅走向每一扇门，看看门上的锁怎么读。

权限三要素

每扇门上装着一套三合一门禁：刷卡先确认“你是谁”——房主、同楼层员工，还是外来访客；随后写着“你能干什么”——看资料、改资料，还是进房间做事。Linux 把门上的身份分成三类：属主(user) 是文件的主人，属组(group) 是与主人同组的伙伴，其他(others) 是毫不相干的访客。三类身份各配三组权限，就形成了 9 个权限位。

用 ls -l 查看，第一列形如 -rwxr-xr--：第一位表示文件类型（- 普通文件、d 目录、l 符号链接），后九位每三位一组，r 是读、w 是写、x 是执行。注意同名权限在文件和目录上含义不同：目录的 r 能列出里面有什么，w 能新建或删除文件，x 才能“走进”目录——这也是为什么部署时明明有 r 权限，进入目录仍报 Permission denied。

锁具设计好了，谁来配钥匙？chmod 就是那台配钥匙的机器。下面看看怎么用。

chmod修改权限

门禁系统出厂后总要按需调整：有人要加门禁卡，有人要收回。管理员有两种做法：一种用数字密码锁，把锁编成“4 读、2 写、1 执行”的加法算式；另一种直接用加减号说“给谁加什么权限”。这就是数字法和符号法。chmod 命令一次改一个文件或目录的权限，数字法用三个 0-7 的数字分别代表属主、属组、其他；符号法则用 u（属主）、g（属组）、o（其他）、a（全部） 搭配 +/-/= 操作。

数字法有个口诀：r=4, w=2, x=1，把想给的权限数值相加。例如 chmod 755 script.sh：属主 7=4+2+1 可读可写可执行，属组 5=4+1 可读可执行，其他 5 同样可读可执行。符号法更直观：chmod u+x script.sh 只给属主加执行位，chmod g-w file 收回组写权限，chmod a=rw file 统一设置为读写。-R 参数可以递归修改整个目录树下所有文件——但也要小心，一杆子打翻一船人。

换好每一扇门的锁，还得确认房本上的名字对不对——因为门禁只认房主和房客名单。这就是 chown 的工作。

chown修改归属

门禁系统认的是“名单”。如果一间办公室换了个新团队入驻，而门禁里的房主还写着旧部门，新员工会一直被拒之门外。这时需要走一道“过户”手续：把房本上的名字改成新主人。chown 是 change owner 的缩写，用来修改文件的属主和属组。它和 chmod 的分工很清晰：chmod 管“门怎么开”，chown 管“房子是谁的”。改归属通常需要 root 权限。

chown alice file.txt 把属主改成 alice；chown alice:dev file.txt 同时把属主改成 alice、属组改成 dev；只写冒号和组名 chown :dev file.txt 则只改属组；-R 递归处理整个目录。部署时的权限排查常从这里开始：文件属主不是运行服务的用户，服务就读取不了配置，日志里就会刷出一串 Permission denied。

名单对了、锁换了，新房装修时锁厂的默认配置，还会悄悄影响每一扇新装的门——这就是 umask。

umask默认权限

物业有条规矩：每间新装修的空房，默认不装最贵的门锁，只留基本防护。你不需要每装一扇门都交代一遍，因为物业有统一的“默认锁配置”。这个配置就是 umask。Linux 创建文件时不会给满全权限，而是套用一个默认模板：普通文件默认全权限是 666（可读可写），目录是 777（可读可写可进入）。umask 的作用就是从中“扣掉”一些权限，得到真正落地的默认权限。

计算规则是：最终权限 = 默认权限 & ~umask。比如 umask=022，文件就是 666 & ~022 = 644（rw-r--r--），目录是 777 & ~022 = 755（rwxr-xr-x）。为什么不是直接“减”而是“按位取反再与”？因为权限位是独立的，只有位运算能精确剔除某些位而保留其他位。临时修改用命令 umask 027，想持久生效可以写入 /etc/profile 或用户的 ~/.bashrc。

锁的默认配置定了，但大楼还有一些“特殊房间”：公共储物柜、深夜值班室。它们需要的不是普通门禁，而是三种特殊权限位。

特殊权限位

三种特殊权限，像三张特殊工牌：setuid 是“临时工牌”——普通员工刷它，就能以部门经理身份开门；setgid 是“团队代刷”——在共享会议室里谁开门都算团队活动；粘滞位是“储物柜规则”——谁的东西只有谁能取走，哪怕柜子是公用的。普通权限用 9 个位，特殊权限在它们前面再添最高位：setuid=4、setgid=2、粘滞位=1，所以 chmod 4755 里的最高位 4 就是开启 setuid。

setuid 最典型的例子是 /usr/bin/passwd：普通用户修改密码要写 /etc/shadow，这个文件只有 root 能写，于是 passwd 带上 setuid 位，运行时以 root 身份去写，让改密码成为可能。setgid 用在共享目录上，目录内新建的文件自动继承目录的属组，团队协作不需要手动 chgrp。粘滞位用在 /tmp：任何人都能往里写文件，但只有文件属主、目录属主或 root 能删除别人的文件。权限位上它们显示为小写 s 或 t，没有执行权时则显示大写 S 或 T。

特殊权限解决了共享与提权问题，但它的威力也意味着危险。面对更复杂的需求——比如只给某个具体访客单独开门——普通权限就不够用了，需要 ACL 和 SELinux 登场。

ACL与SELinux

门禁的常规规则只有三类人，但你只想让隔壁工位的小张看看文件，他既不在你的组里、也不属于“其他”的待遇范围。这时需要一张“白名单”，在门禁上单独写一条：小张可进门。这白名单就是 ACL（Access Control List，访问控制列表）。而 SELinux 是整栋楼的中央安保：给每个进程和文件都贴标签，一旦行为越界，保安直接拦人——它属于内核级强制访问控制（MAC）。

ACL 在传统九位权限之外，为指定用户/组单独授权：setfacl -m u:alice:rw file.txt 给 alice 单独读写权限；setfacl -x u:alice file.txt 移除；getfacl file.txt 查看所有条目。加了 ACL 后，ls -l 末尾会多一个 +。ACL 里的 mask 是“权限遮罩”，限制所有具名用户和组的最大权限。SELinux 三种模式：enforcing 强制拦截、permissive 只记录不拦截、disabled 关闭；查看上下文用 ls -Z，排查拦截看 /var/log/audit/audit.log，临时调整用 chcon。

有了白名单和中央安保，这栋大楼的出入管理才算完整。从大厅布局到每扇门锁，从默认配置到特殊工牌，你现在已经掌握了 Linux 权限的完整地图。

AI 应用场景

Python 演示

class PermissionTool:    """模拟Linux权限计算的工具类"""     WEIGHTS = {'r': 4, 'w': 2, 'x': 1}     @staticmethod    def numeric_to_symbolic(mode):        result = []        for ch in list(str(mode)):            n = int(ch)            part = ''            for op in ('r', 'w', 'x'):                if n >= PermissionTool.WEIGHTS[op]:                    part += op                    n -= PermissionTool.WEIGHTS[op]                else:                    part += '-'            result.append(part)        return ''.join(result)     @staticmethod    def apply_umask(base, umask):        return base & ~umask     @staticmethod    def can_execute(mode, identity):        sym = PermissionTool.numeric_to_symbolic(mode)        table = {'user': (0, 3), 'group': (3, 6), 'other': (6, 9)}        begin, end = table[identity]        return sym[begin:end][2] == 'x'  def main():    tool = PermissionTool()    print('数字权限转符号权限:')    for mode in (755, 644, 600, 4755):        print(f'chmod {mode} -> {tool.numeric_to_symbolic(mode)}')     print('\numask 计算:')    print(f'文件: 666 & ~022 = {tool.apply_umask(0o666, 0o22)}')    print(f'目录: 777 & ~022 = {tool.apply_umask(0o777, 0o22)}')     print('\n执行权限检查:')    print(f'755 下 other 可执行? {tool.can_execute(755, "other")}')    print(f'644 下 group 可执行? {tool.can_execute(644, "group")}')  if __name__ == '__main__':    main()

1. WEIGHTS = {'r': 4, 'w': 2, 'x': 1}权限权重表，把读/写/执行翻译成数字。
2. for op in ('r', 'w', 'x'):逐位检查该字符位置有没有对应权限。
3. if n >= PermissionTool.WEIGHTS[op]:剩余数值够扣当前权重，说明该位开启。
4. return base & ~umask位运算：取反 umask 后按位与，得到最终默认权限。
5. table = {'user': (0, 3), 'group': (3, 6), 'other': (6, 9)}三个身份对应的切片位置。
6. return sym[begin:end][2] == 'x'取该身份第三位，判断能否执行。

常见误区

面试题