使用chattr修改文件或目录禁止root用户删除

管理Linux系统中的文件和目录，除了可以设定普通权限和特殊权限外，还可以利用文件和目录具有的一些隐藏属性。chattr命令专门用来修改文件或目录的隐藏属性，只有root用户可以使用，lsattr命令可以查文件或目录的隐藏属性。

1、命令的基本格式

[root@localhost ~]# chattr [+-=] [属性] 文件或目录名

+ 表示给文件或目录添加属性，- 表示移除文件或目录拥有的某些属性，= 表示给文件或目录设定一些属性。
表1列出了常用的一些属性及功能。

表 1 chattr 命令常用的属性选项及功能
属性选项	功能
i	如果对文件设置i属性，那么不允许对文件进行删除、改名，也不能添加和修改数据； 如果对目录设置i属性，那么只能修改目录下文件中的数据，但不允许建立和删除文件；
a	如果对文件设置a属性，那么只能在文件中増加数据，但是不能删除和修改数据； 如果对目录设置a属性，那么只允许在目录中建立和修改文件，但是不允许删除文件；
u	设置此属性的文件或目录，在删除时，其内容会被保存，以保证后期能够恢复，常用来防止意外删除文件或目录。
s	和u相反，删除文件或目录时，会被彻底删除（直接从硬盘上删除，然后用 0 填充所占用的区域），不可恢复。

2、命令实例

2.1给文件赋予i属性

[root@localhost ~]# touch ftest  #建立测试文件

[root@localhost ~]# chattr +i ftest

[root@localhost ~]# rm -rf ftest

rm:cannot remove 'ftest':Operation not permitted

#无法删除"ftesr"，操作不允许，被赋予i属性后，root不能删除

[root@localhost ~]# echo 111>>ftest

bash:ftest:Permission denied

#权限不够，不能修改文件中的数据，可以看到，设置有i属性的文件，即便是root用户，也无法删除和修改数据。

2.2为目录赋予i属性

[root@localhost ~]# mkdir dtest  #建立测试目录

[root@localhost dtest]# touch dtest/abc  #再建立一个测试文件abc

[root@localhost ~]# chattr +i dtest #给目录赋予i属性

[root@localhost ~]# cd dtest

[root@localhost dtest]# touch bed

touch: cannot touch 'bed':Permission denied

#无法创建"bcd"，权限不够，dtest目录不能新建文件

[root@localhost dtest]# echo 11>>abc

[root@localhost dtest]# cat abc

11

#可以修改文件内容

[root@localhost dtest]# rm -rf abc

rm: cannot remove 'abc': Permission denied

#无法删除"abc"，权限不够

注：一旦给目录设置i属性，即使root用户，也无法在目录内部新建或删除文件，但可以修改文件内容。给设置有i属性的文件删除此属性也很简单，只需将chattr命令中+改为-即可。

2.3演示a属性的作用

假设有这样一种应用，我们每天自动实现把服务器的日志备份到指定目录，备份目录可设置 a 属性，变为只可创建文件而不可删除。命令如下：

[root@localhost ~]# mkdir -p /back/log  #建立备份目录

[root@localhost ~]# chattr +a /back/log  #赋予a属性

[root@localhost ~]# cp /var/log/messages /back/log #可以复制文件和新建文件到指定目录中

[root@localhost ~]# rm -rf /back/log/messages

rm: cannot remove '/back/log/messages': Permission denied

#无法删除 /back/log/messages，操作不允许

3、注意事项

通常情况下，不要使用chattr 命令修改 /、/dev/、/tmp/、/var/ 等目录的隐藏属性，很容易导致系统无法启动。另外，chatrr 命令常与lsattr命令合用，前者修改文件或目录的隐藏属性，后者用于查看是否修改成功。有关 lsattr 命令，放到下节讲解。2、