linux普通用户产生目录,Linux 下实现普通用户只能写入某个目录

今天老婆问了我一个问题：如何在linux 下实现某个目录普通用户能够写入文件，但是不能删除或修改(只能由root 删除或修改)。开始的两分钟里，我初步判断这是做不到的，因为linux 下能 写入(w) 就代表着同时能 修改 和 删除，命题是矛盾的。后面我又想到 粘滞位和 facl，幸好没有放弃，最后还是想到如何做到这个效果。下面是实验过程

首先起个目录用来做实验

[root@node1 data]# pwd

/data

[root@node1 data]# mkdir sample

接着我们设置好目录的属组和权限

# 修改 sample 目录属组

[root@node1 data]# chown -R root:root sample

# 修改 sample 目录权限，让组和用户都没有任何权限，也就是说

# 只有 root 能

# 1. 进入该目录

# 2. 向该目录写入文件

# 3. 修改或删除该目录中的文件

# 4. 执行该目录中的文件

# 其他组和用户什么都干不了

[root@node1 data]# chmod 700 sample

[root@node1 data]#

[root@node1 data]# ll

total 0

drwx------ 2 root root 6 Apr 20 12:14 sample

做完上面一步，普通用户是不能向进入 sample 目录，也不能修改或执行 sample 目录中的文件。如果有一个程序能够向该目录添加文件，那我们就通过粘滞位来提升一下普通用户的权限，并保证该程序对普通用户可用。程序需要自己编写，这里为了实验就直接用 mv 来替代，为了不影响系统，这里换了个名字叫 add

[root@node1 data]# cp /usr/bin/mv /usr/bin/add

# 给 add 添加粘滞位，这样，其他用户使用 add 的时候就能提升为 root 权限，而 root 可以向 sample 目录写入文件

[root@node1 data]# chmod u+s /usr/bin/add

[root@node1 data]# ll /usr/bin/add

-rwsr-xr-x. 1 root root 130344 Nov 6 2016 /usr/bin/add

好了，到最后了，我们切换到普通用户，进行检验。看看对该目录的查改删是不是都可以(通过mv)，看看通过 add(提升为root) 能不能向 sample 目录添加文件。

# 切到普通用户，如 kafka，创建一个文件

[kafka@node1 ~]$ touch file

[kafka@node1 ~]$ ll

total 0

-rw-rw-r-- 1 kafka kafka 0 Apr 20 12:28 file

# 通过mv 添加文件到 sample 目录，失败了，因为普通用户没有权限写入

[kafka@node1 ~]$ mv file /data/sample/

mv: cannot stat ‘/data/sample/file’: Permission denied

# 通过应用程序 add 添加文件到 sample 目录，执行成功了。因为执行时，权限会临时提升为 root

[kafka@node1 ~]$ add file /data/sample/

# 查看和删除也都失败了

[kafka@node1 ~]$ ll /data/sample/

ls: cannot open directory /data/sample/: Permission denied

[kafka@node1 ~]$ rm -f /data/sample/file

rm: cannot remove ‘/data/sample/file’: Permission denied