由Linux 警告:Permison denied引发的思考

在使用Linux中，我们经常遇到Permisson denied错误。是不是一股脑的加上sudo或者切换root用户继续执行，没有理解背后的逻辑。今天就来掰扯掰扯Linux的DAC（Discretionary Access Control,自主访问控制）。

Tips:本文所引用的关键性名词、内容归类可能会与标准所不同。请灵活理解

在Nginx的使用过程中或执行某些命令（rm -f）,经常性的遇见Permisson denied。这让我很苦恼，就算我把默认rwx普通权限弄明白，还是会遇到这类问题。那就是问题已经超出的我的认知了，需要我进一步探究了。

普通权限

普通权限划分为：rwx,分别用421表示。4对应r（可读）,2对应w（写入）,1对应x（执行）。rwx共有3组。第一组表示：所属者的权限。第二组表示：所属组的权限。第三组表示：其它用户的权限。
rwx作用于文件和文件夹的效果是不一样的。

	r	w	x
文件	表示可以读取文件的内容	表示可以新增、修改文件的内容	表示文件可以被执行
文件夹	可以查看文件夹下的目录结构	可以新增、修改、移动、删除其中的文件和文件夹	表示用户可以进入文件夹

举个例子:

[root@VM_0_10_centos ~]# su work
bash-4.1$ ll
bash: ll: command not found
bash-4.1$ ls
ls: 无法打开目录.: 权限不够
bash-4.1$ pwd
/root
bash-4.1$ ls -ahld /root
dr-xr-x---. 18 root root 4.0K 3月  19 13:39 /root

这里/root目录显示的
所属者为：root，权限为：r-x,
所属组为: root, 权限为：r-x,
其它者权限为：—

可以理解成：
(当然root超级管理员可以无视权限，它是在DAC之上)

• 1.root用户可以读取/root目录下的内容，ls命令。可以进入/root目录, cd命令
• 2.root组的用户可以同样享有同样的权利。
• 3.其它用户没有权利对/root对任何事

改变目录、文件权限。

命令	含义	示例
chown	主要用户修改文件、目录的所属者	chown [-R] work /home/work/test
chgrp	用来修改文件、目录的所属组	chgrp [-R] work /home/work/demo
chmod	可以修改权限范围	chmod [-R] 755 /home/work/temp

默认权限

在新建文件、目录的时候，是不是系统都会赋予该文件、目录一定的权限。这里就是默认权限在起作用。

新建的文件权限 = 666（文件的最大默认权限）- umask
新建的目录权限 = 777（目录的最大默认权限）- umask

[root@VM_0_10_centos test]# umask
0022
# 第一个0表示特殊权限(接下来会讲),022代表基础权限。用上面的知识来套
[root@VM_0_10_centos test]# touch demo.txt # 新建文件
[root@VM_0_10_centos test]# mkdir temp # 新建目录
[root@VM_0_10_centos test]# ls -al
总用量 4
-rw-r--r-- 1 root root    0 3月  19 14:05 demo.txt
drwxr-xr-x 2 root root 4096 3月  19 14:05 temp
demo.txt = 666 - 022 => rw-rw-rw- - ----w--w- => rw-r--r--
temp     = 777 - 022 => rwxrwxrwx - ----w--w- => rwxr-xr-x

Tips:umask的作用是与最大权限进行遮罩操作，去掉的是最大权限里有的权限。不能凭空多出比最大权限还要高的权限。
umask=033, 666 - 033 = 633 这是错误的理解。
demo.txt = 666 - 033 => rw-rw-rw- - ----wx-wx => rw-r–r-- => 644
最大权限里没有x权限，权限只能降，不能升。

特殊权限

为什么/etc/passwd文件其它用户没有写的权利，却可以通过passwd命令来操作里面的数据呢

SUID

[root@VM_0_10_centos test]# ll /usr/bin/passwd
-rwsr-xr-x. 1 root root 30768 2月  22 2012 /usr/bin/passwd
[root@VM_0_10_centos test]# ll /etc/passwd
-rw-r--r-- 1 root root 1191 12月 23 13:32 /etc/passwd

这是因为/usr/bin/passwd 有特殊权限，rwsr-xr-x。
作用于文件：这里的s表示运行该命令的时候是以root用户来执行这个命令
为文件添加suid, 例：chown u+s /home/work/temp.sh

SGID

[root@VM_0_10_centos test]# chmod g+s temp
[root@VM_0_10_centos test]# ll
总用量 4
-rw-r--r-- 1 root root    0 3月  19 14:05 demo.txt
drwxr-sr-x 2 root root 4096 3月  19 14:05 temp

rwxr-sr-x，
作用于文件：表示用户执行这个文件的权限提升为文件所属者的权限
作用于文件夹：这里的s表示用户在进入这个目录的时候权限提升为文件夹所属组的权限

SBIT

bash-4.1$ ls -ahl /tmp
总用量 52K
drwxrwxrwt.  9 root     root     4.0K 3月  19 13:35 .
dr-xr-xr-x. 24 root     root     4.0K 3月  19 14:44 ..
srwxrwxrwx   1 root     root        0 12月  4 2015 agent_cmd.sock
drwxr-xr-x   3 root     root     4.0K 4月   3 2019 falcon-plus
drwxr-xr-x   2 logstash logstash 4.0K 3月  13 10:33 hsperfdata_logstash
drwxrwxrwt   2 root     root     4.0K 3月  12 10:25 .ICE-unix
drwxrwxrwx   2 logstash logstash 4.0K 3月  13 10:29 jruby-24492
drwxr-xr-x   2 logstash logstash 4.0K 3月  13 10:29 jruby-24573
drwxr-xr-x   2 logstash logstash 4.0K 3月  13 10:30 jruby-24708
drwxr-xr-x   2 logstash logstash 4.0K 3月  13 10:30 jruby-24828
srwxrwxrwx   1 mysql    mysql       0 3月  12 10:25 mysql.sock
-rw-r--r--   1 root     root      140 3月  12 10:25 net_affinity.log
-rw-r--r--   1 root     root       14 3月  19 14:44 .PATH
-rw-r--r--   1 root     root      178 3月  12 10:25 setRps.log
bash-4.1$ rm -rf /tmp/jruby-24492/
rm: 无法删除"/tmp/jruby-24492": 不允许的操作

仔细看.目录（当前目录）的权限是：rwxrwxrwt，表示只有该文件的所属用户才能对该文件、文件夹进行删除、修改
所以哪怕/tmp/jruby-24492文件的权限为rwxrwxrwx(777),都是没法删除的

扩展阅读：
1.Linux ACL权限控制
2.SELinux MAC权限控制