理清Linux中的各种用户ID关系

绿色代表进程（进程的性质）橙色代表文件（文件的性质）。当进程试图打开文件时，内核会进行如下权限测试：

0. 若进程的有效用户ID是0（超级用户），则允许访问。

1. 若进程的有效用户ID等于文件的所有者ID，那么进行文件所有者访问权限的测试（与open的参数对比），对应图中的1。

2. 若进程的有效组ID或进程的附加组ID之一等于文件的组ID，则进行文件所属组的权限测试，对应图中的2.

3. 测试文件的Other访问权限。

注：如果第1步中进程有效用户ID等于文件所有者ID，但相应权限的测试不符合，则不会进入第2步的组测试。对于2,3步也同理。

下面看一下一个用户执行进程的过程：

(1) 每个用户登录后都对应一个uid，一个gid，一组附加组id，如上图红色部分。

(2) 每个程序文件（黄色部分）和普通文件一样拥有文件所有者id，文件所有组id，并具有相应rwx权限。

(3) 用户打开文件时进行图1描述流程的x权限测试（只不过此时不是进程而是用户）。

(4) 当a.用户是超级用户或b.用户id和文件所有者id相同且文件所有者具有x权限或c.用户的gid和文件的所属组id相同且文件所属组具有x权限或d.文件的other具有x权限，则用户可执行此程序，产生进程（上图绿色部分）。

(5) 用户的uid变成进程的实际用户id，用户的gid变成进程的实际组id，用户的附加组id变成进程的附加组id。

(6) 当程序文件没有设置”设置用户id位（SUID）”和”设置组id（SGID）位”时进程的有效用户id等于进程的实际用户id，进程的有效组id等于进程的实际组id。

(7) 当程序文件设置了”设置用户id位（SUID）”时，进程的有效用户id保存到进程“保存的设置用户id”，之后进程的有效用户id变为程序文件的所有者id。

(8) 当程序文件设置了”设置组id（SGID）位”时，进程的有效用户组id保存到进程“保存的设置用户组id”，之后进程的有效用户组id变为程序文件的所有组id。

Linux为每个进程设置了3个ID：实际用户id，有效和用户id和保存的设置id

关于这3个id，需要注意以下几个方面：

1.只有root才能改变进程的实际用户id。例如，用户从终端login程序登陆，此时login程序的3个id都是root。然后正确输入用户名密码之后，login程序于是setuid到注册的id。于是3个id都被改成了注册的用户id。然后exec shell程序。非root用户注册进入shell之后，他的实际用户id是绝对不会被更改的。除非logout之后，重新注册shell。一些su改变用户的操作实际上都是改变shell进程的有效用户id，并不是shell进程的实际用户id。

2.exec程序时，可执行文件有一个设置id位，该位的设置与否与进程的有效用户id和保存的设置id有很大关系。可以用ll命令查看，如果有s标记的话说明设置了，否则没有。首先没有设置的情况，3个id均不会改变，和调用者的进程的id一样。现在是设置了的情况，实际用户id仍然不会改变，有效用户id则设置为可执行文件的属主用户，保存的设置id设置成有效用户id一样。这样的程序有很多，比如passwd，su等。例如，passwd程序，一个普通用户foo通过shell执行passwd，首先shell进程fork产生一个子进程，然后子进程exec passwd程序。由于passwd设置了设置id位，并且passwd是属于root用户。于是子进程设置有效用户id位为root，保存的设置用户id也设置成了root。passwd执行完毕时，再改变有效用户id和保存的设置用户id为以前的实际用户id的值。

3.保存的设置-用户- ID 是由exec从有效用户I D复制的。在exec按文件用户I D设置了有效用户I D后，即进行这种复制，并将此副本保存起来