【Linux】权限管理

一、shell命令及其运行原理

Linux严格意义上说的是一个操作系统，我们称之为“核心（kernel）“ ，但我们一般用户，不能直接使用kernel。

而是通过kernel的“外壳”程序，也就是所谓的shell，来与kernel沟通。如何理解？为什么不能直接使用kernel？

从技术角度，Shell的最简单定义：命令行解释器（command Interpreter）主要包含：

• 将使用者的命令翻译给核心（kernel）处理
• 将核心的处理结果翻译给使用者

对比windows GUI，我们操作windows 不是直接操作windows内核，而是通过图形接口，点击，从而完成我们的

操作（比如进入D盘的操作，我们通常是双击D盘盘符.或者运行起来一个应用程序）

shell对于Linux，有相同的作用，主要是对我们的指令进行解析，解析指令给Linux内核。反馈结果在通过内核运

行出结果，通过shell解析给用户

此外，shell还在变相的保护操作系统：shell会对用户传递的指令进行解析，如果它解析到非法的指令时，那么此时它会直接抛出错误，并不会将错误指令传递给kernel，这样使得kernel只能接收合法的指令，一定程度上保护 了操作系统，为了防止用户非法指令 导致shell自身崩溃，shall本身一般不会去执行对应的指令，而是会派生子进程来执行用户的指令

所以shell和GUI一样，本质上都是kernel外面的一层软件层(外壳程序)，用于连接用户与kernel，为了我们更好的理解，我们可以再看看下面的例子，来帮助我们对其进行理解：

假如你是一个内向的程序员，那shell就像媒婆，操作系统内核就是你们村头漂亮的且有让你心动的如花。你看上了如花，但是又不好意思直接表白，那就让你你家人找媒婆帮你提亲，所有的事情你都直接跟媒婆通，由媒婆转达你的意思给如花，但是小花觉得你们不合适，所以拒绝了你的请求，但是你是一个深情且专一的人，又多次找到媒婆想让她多帮你说一说，可是媒婆到如花家发现如花已经有了男朋友，心里已经知道你们已经不可能了，尽管是这样你依然不想放弃，继续劝说媒婆去说，媒婆看这事不说不行，但是继续去说基本上也不会有结果，而且还会坏了自己的口杯，所以媒婆想了个注意，在家招募说媒的人，让他们替媒婆完成任务，这样即使失败了也不会坏了自己的口杯。

上诉中如花就是kernel，媒婆就是shell，你就是用户，shell作为你和如花交互的媒介，对于你后面无理的请求王婆拒绝就是shell不执行用户非法指令，变相保护如花(操作系统)，媒婆派遣徒弟而不是直接去就是shell为了防止直接崩溃，所以派生子进程去执行

shell是外壳程序的总称，不同的系统对于的shell程序可能不同，其中bash是标准的GNUshell，所以它称为Linux发行版上的标准shell，上诉例子中媒婆就是shell，假如王婆是一个媒婆，她就可以称为bash

二、Linux权限的概念

1.用户分类

Linux下有两种用户：超级用户(root)、普通用户

• 超级用户：可以再linux系统下做任何事情，不受限制
• 普通用户：在linux下做有限的事情
• 超级用户的命令提示符是“#”，普通用户的命令提示符是“$"

2.切换用户指令—su

命令：su [用户名]

功能：切换用户

在Linux中，要从root用户切换到普通用户user，则使用 su username

如果我们要从普通用户user切换到root用户则使用 su root(root可以省略)，此时系统会提示输入root用户的口令

其中，普通用户切换到root用户有两种方式：

• su:切换到root的当前目录
• su -:切换到root的根目录

1.su:切换到当前路径

2.su -:切换到root根目录

3.用户提权

当我们使用Linux的时候，当前有指令需要拥有超级用户的权限才能执行，但是我们不想切换用户或者无法切换的时候，而是想让普通用户以root用户的身份去执行该指令，sudo 指令可以满足我们的需求：只需要在正常指令前加sudo即可

使用sudo指令让我们用于root用户的权限，按理来说我们应该需要输入root用户的密码，但事实上是需要用户输入自己的密码，此外，我们只要sudo提权的时候可能会显示我们的用户不在sudoers中，sudo失效

对于上面的问题是有sudo的机制造成的，sudo存在的目的是为了给受信任用户提供最少的执行障碍，受信任用户是指被添加到sudoers文件中的用户，说明root是充分的信任我们，所以当我们使用sudo指令提权的时候只需要输入自己的密码即可，此外，sudo是短暂的提权，有效时间大概为15分钟，即当我们使用sudo成功提权之后，15分钟之内我们再次使用sudo提权时我们不再需要输入密码

三、Linux权限管理

1.文件访问者的分类

在Linux在，文件访问者被分为三类：

• 所有者：文件和文件目录的所有者：u—User（中国平民 法律问题）
• 所属组：文件和文件目录的所有者所在的组的用户：g—Group
• 其它用户：o—Others （外国人）

我们对于所有者和其他用户这两个对象我们很容易理解，但是Linux为什么还要有所属组呢？

Linux文件访问者有所属组是为了实现文件访问的权限控制。在Linux中，每个文件/目录都有一个所有者以及一个所属组，文件的访问权限是由所有者、所属组以及其他用户来决定的。当一个用户访问一个文件时，系统会先判断该用户是否为该文件的所有者或所属组成员，如果是则按照相应的权限进行访问，否则按照其他用户权限进行访问。因此，为了实现对文件的有效管理和保护，Linux需要对文件访问者进行分类和授权，这就需要有所属组的概念。

我们以一个简单的例子进行说明：

假如一个公司有两个组的成员，但是只有一台主机，那么此时组内的成员如何实现文件共享呢？如果我把文件设置成为私有，这样显然另外一组的成员看不到我的代码，但是同时我们组的其他成员也看不到我的代码，而如果我把文件设置为公有，此时又有代码泄漏的风险，为了解决这种情况，Linux设计出了所属组的代码，我们可以把多个用户归为一个组，组内成员可以共享这个文件，而组外的成员受权限限制

2.文件类型和访问权限

文件类型

在Linux中一共有七种文件类型：

d：文件夹/目录

-：普通文件(源代码，库文件，可执行程序，文件压缩包等等)

l：软链接（类似Windows的快捷方式）

b：块设备文件（例如硬盘、显示器、光驱等）

p：管道文件

c：字符设备文件（例如屏幕等串口设备）

s：套接口文件

文件后缀与文件类型

Linux中不以文件的后缀名来区分文件的类型，文件的后缀也是文件名的一部分，但是这个并不代表我们不可以使用文件的后缀来区分文件的类型，如果我们要使用文件的后缀来区分文件的类型，仅仅是给用户做一个提示符号来使用，此外，Linux中不以文件的后缀来区分文件的类型，但是并不代表Linux下的各种工具不以文件的后缀区分文件的类型，比如gcc,g++等等

访问权限

我们在Linux下使用ll查看一个文件/目录的时候，会看到以下的信息：

他们对应的含义如下：

我们需要注意的是，第一个字符代表文件的类型，后九个字符三三为一组，分别代表拥有者，所属组，其他人的权限，其中文件的权限一共分为一下三类：

• 读（r/4）：Read对文件而言，具有读取文件内容的权限；对目录来说，具有浏览该目录信息的权限

• 写（w/2）：Write对文件而言，具有修改文件内容的权限；对目录来说具有删除移动目录内文件的权限

• 执行（x/1）：execute对文件而言，具有执行文件的权限；对目录来说，具有进入目录的权限

• “—”表示不具有该项权限

需要注意的是，权限对应位置的字符为‘-’说明该用户未拥有对应的权限，该用户就不能使用其功能，比如一下的例子：

四、文件权限值的表示方法

1.字符表示法

2.八进制数值表示法

文件的权限一共只有三种–读写执行，所以用三个二进制位就可以表示全部情况，如果使用八进制就只需要一位

五、文件访问权限的相关设置方法

1.chmod 指令

**格式：**chmod [参数] 权限 文件名

**功能：**设置文件的访问权限

常用选项：

R -> 递归修改目录文件的权限

注意：只有文件的拥有者和root才可以改变文件的权限

chmod命令权限值的格式

(1) 用户表示符+/-=权限字符

用户符号：

u：拥有者

g：拥有者同组用

o：其它用户

a：所有用户

±=的含义：

+:向权限范围增加权限代号所表示的权限

-:向权限范围取消权限代号所表示的权限

=:向权限范围赋予权限代号所表示的权限

指令演示

1.对单个用户加减权限

2.对多个用户±权限

【注意】当该用户已经拥有该权限的时候继续加上给权限，不会有任何影响，没有该权限的时候减去该权限同理

(2)三位8进制数字

八进制表示法上面我们已经结束，这里不再赘述：

指令演示：

2.chown 指令

格式：chown [参数] 用户名 文件名

功能：修改文件的拥有者

常用选项

-R 处理指定目录及其子目录下的所有文件

【注意】当我们使用chown指令将属于我们的文件给别人的时候，需要征得别人的同意，所以在一般情况下我们是不能改变文件的拥有者的，只有root不受权限的约束，可以直接将属于A的文件给B，而不需要征得别人的同意

指令演示

1.普通用户

使用sudo提权：

2.root用户

3.chgrp 指令

格式：chgrp [参数] 用户组名 文件名

功能：修改文件或目录的所属组

常用选项：

-R 递归修改文件或目录的所属组

【注意】

和修改文件一样，我们也不能直接修改文件的属性组，需要征得别人的同意，而root不受约束

指令演示

1.普通用户

2.root用户

4.umask 指令

在Linux下新建文件夹默认权限=0666 ，新建目录默认权限=0777，其中第一位数字代表这是三位八进制数，后面三位数字分别代表拥有者，所属组，其他用户对文件的权限 但实际上你所创建的文件和目录，看到的权限往往不是上面这个值。

原因就是创建文件或目录的时候还要受到umask的影响。假设默认权限是mask，则实际创建的出来的文件权限是: mask & ~umask

权限的掩码的作用：凡是在umask中出现的权限都必须在起始权限中去掉，因为一个权限在umask中为1，那么按位取反后再与默认权限按位与得到的结果一定为0，如果umask为0,则其按位取反得到后与默认权限按位与后不影响权限的值

格式：umask 权限值

功能：查看或修改文件掩码

说明：将现有的存取权限减去权限掩码后，即可产生建立文件时预设权限。超级用户默认掩码值为0022，普通用

户默认为0002

指令演示

1.查看文件掩码

2.修改文件掩码

我们可以看到，当我们把文件的掩码设置为000后，此时文件的最终权限就是文件的默认权限

5.file 指令

语法：fifile [选项] 文件或目录…

功能说明：辨识文件类型

常用选项：

-c 详细显示指令执行过程，便于排错或分析程序执行的情形

-z 尝试去解读压缩文件的内容

指令演示

六、目录的权限

目录的权限分为以下三种：

可执行权限: 能否进入目录–如果目录没有可执行权限, 则无法cd到目录中

可读权限: 能否查看目录中的文件内容–如果目录没有可读权限, 则无法用ls等命令查看目录中的文件内容

可写权限: 能否在目录中创建与删除文件–如果目录没有可写权限, 则无法在目录中创建文件, 也无法在目录中删除文件

由此可见，如果我们要进入一个目录，就必须要有可执行权限，这也就是为什么普通文件的默认权限是666，而目录文件的默认权限是777

【注意】

目录的可执行权限是表示我们是否可在目录下执行命令。如果目录没有可执行权限，则无法对目录执行任何命令，甚至无法cd进入目录，即使目录具有可读的权限，这个非常重要，因为我们很容易觉得只要有了读的权限就能够进入目录，其实不是这样的，这一点需要特别注意；如果目录具有可执行的权限，但是没有读的权限，那么用户可以指向命令，比如进入目录，在目录下创建文件，但是不能由于没有写的权限，即使是我们自己写的文件，我们写了之后也不能够进行查看

七、粘滞位

Linux系统中有很多用户，那么有时我们可能很多人就需要在一个公共的目录下，进行临时文件的操作(增删查改)，这个公共目录通常是由root用户创建的，然后将目录的权限修改为7，使得我们都能够在这个公共目录下进行一系列的操作：

但是这里有一个问题，由于公共目录的权限是777，所以任何一个用户都可以删除该目录下的文件(这里不排除别人因为想看你文件的内容，但是由于文件的权限使得他看不见而选择直接把文件删除)，无论这个文件是否属于自己，如下：

我们可以看到，对于hdp来说，file3这个文件是不可读不可写且不可执行的，hdp也确实不能对他进行这些操作，但是hdp却能够直接删除file3.txt,这个文件，这是因为file3.txt这个文件是在public_dir这个公共目录之下，而这个目录对hdp是可读可写可执行的，所以hdp理应能够删除file3.txt这个文件，但是我们思考一下，对于这种别人的文件，我们能够随意删除，是否是不合理呢，答案是的，为了解决这个问题，Linux提出了粘滞位来解决这个问题；

粘滞位是权限的一种特殊情况，它不影响不同用户在公共目录下进行的各种合理的操作，但是它可以禁止不同的用户之间互删文件，粘滞位的设置十分简单，只需要在已有的权限的基础上加上t即可，并且添加时不用指定用户，Linux会自动识别：

当一个目录被设置为"粘滞位"(用chmod +t),则该目录下的文件只能由

一、超级管理员删除

二、该目录的所有者删除

三、该文件的所有者删除

八、权限总结

• 目录的可执行权限是表示你可否在目录下执行命令
• 如果目录没有-x权限，则无法对目录执行任何命令，甚至无法cd 进入目, 即使目录仍然有-r 读权限(这个地方很容易犯错，认为有读权限就可以进入目录读取目录下的文件)
• 而如果目录具有-x权限，但没有-r权限，则用户可以执行命令，可以cd进入目录。但由于没有目录的读权限
• 所以在目录下，即使可以执行ls命令，但仍然没有权限读出目录下的文档