Linux 文件权限
一、 用户分类与文件访问权
• Linux 将用户划分为四类；
root ；或所有 UID=0 的用户，具有至高权限；
owner ：文件的所有者，默认即文件的创建者；
group ；所属组，除 owner 外同组其他成员有同等权限；
world ；除上面三类外的其他普通用户。
自然，Linux 的权限管理只针对 owner、group、world。
• 访问权限有三种；读、写、执行，分别用 r、w、x 表示
ls –l 命令显示的结果中第 1 列的 2-10 分别表示三类用户对
此文件（或目录）的三种访问权限，“
-”表示无此权限，例：
-rwxr-x- - - 2 z3 g1 737 oct 7 18:42 a.sh
表示 a.sh 文件为 z3 所有，属于 g1 组，z3 具有全部权限，
g1 组内其他成员具有读和执行权限，其他用户无任何权限。
• 为便于记忆与交流，专业人员习惯以八进制描述权限，比如
上例文件的访问权限可表示为 750。
二、 文件权限与目录权限
文件与目录的访问权限都分为读、写和执行，但作用不同：
读权限
写权限
执行权限
文件
读取文件内容 修改该文件
执行
目录
列出其中的文
件名
在其中创建或
删除文件
进入目录注意：
⑴在 Linux 中一个文件是否是可执行文件与其扩展名无关。
其可否执行取决于两个条件：用户是否具有执行权限；该文
件是否是可执行文件。 普通的文本文件（非脚本文件）即
便被赋予执行权限也无法执行。File 命令可查看文件类型。
⑵Redhat Linux 9.0 上的实验表明：若要对目录中的文件名列
表或在其中创建与删除文件都必须要对该目录拥有执行权
限。这点与很多书籍上的说法存在出入。
三、 改变文件的所有者和所在组
① chown 命令：改变文件的所有者
例：chown l4 a.txt 改 a.txt 文件的所有者为 l4
chown l4 mydir 改 mydir 目录的所有者为 l4
chown –R l4 mydir 将 mydir 目录全部归 l4 所有
说明：⑴ -R 参数表示递归操作，即把 mydir 及其下的所有
目录与文件的所有者都改为 l4。
⑵ 只有 root 用户有劝执行 chown 命令。
② chgrp 命令：改变文件的所属组
例：chgrp g1 a.txt 改 a.txt 文件的所属组为 g1
chgrp –R l4 mydir 递归改变 mydir 目录所属组
说明：普通用户也可以执行 chgrp 命令，但前提条件是该
用户必须同时具备两组的成员身份。③同时改变所有者和所属组
chown newuser.newgroup filename_or_directory
即用点连接新所有者和新组，执行 chown 命令。
例：chown l4.g1 mydir
四、 改变文件的访问权限
• chmod 命令用于修改文件或目录的访问权限。命令格式：
chmod 权限 文件或目录名
例：chmod 755 /home/l4 修改 l4 的主目录访问权限为 755
（注：如果需要，当然也可以使用递归操作参数-R）
• 还可以使用字符串取代八进制的权限表示：
u、g、o、a 分别表示 owner、group、world、all
r、w、x 分别表示 read、write、exec
+、- 分别表示增加、去除权限
例：chmod a+r g+x u+xw /home/l4
使/home/l4 对任何人可读、组用户可执行、拥有者可读可执行
又例：chmod +x install.sh
使当前目录下的 install.sh 文件对任何人可执行。这种用法常
用在改变下载文件的权限属性以便其可执行。
注意：
⑴对硬连接的访问权限修改会同时影响到所有相关的硬连接权限属性。因为它们是同一个文件。
⑵对软连接的访问权限修改只改变了被连接文件的权限属性，
连接文件自身的访问权限并没有被修改，仍是 777。
五、 用户的默认访问权限和 umask
用户在创建新文件时，系统通常按默认值赋予其权限：
目录
一般文件
root
755
644
普通用户
775
664
影响用户的权限默认值的是个与用户相关的系统值 umask。
Root 的 umask=022，普通用户的 umask=002
目录的默认权限等于：777 与 umask 反码；（777 减去 umask）
文件的默认权限等于：666 与 umask 反码。（666 减去 umask）
不带参数地执行 umask 将显示当前用户的 umask 值。
umask 新值 可改变当前用户的 umask 值，
例：umask 222 令当前用户 umask=222，任何人都不可写
说明：
⑴umask 只与用户有关，与当前在哪个目录无关。
⑵只能改变自己的 umask，并且只对自己的本次登录有效。
下次登录 umask 还是原值。所以修改的意义似乎不大。
⑶注意：“减去 umask”的说法只是一些书籍上为不熟悉布
尔代数的初学者提供的一种权宜的助记方法，该说法其
实很有问题，造成很多现象无法解释。笔者认为准确的说法应该是：“默认的访问权限等于权限基值与上
‘umask 的反码’，对于新建目录和新建文件来说，其权
限基值分别是 777 和 666；但对于由拷贝操作产生的新
目录和新文件来说，其权限基值就是源目录（或源文件）
的原有值”。也就是将权限基值上的那些与 umask 中置 1
位相对应的权限位清零便可得到新文件的默认权限值。
六、 理解 SUID 和 SGID
先分析一个现象：
记录用户账号信息的/etc/passwd 文件其权限是：root.root 644
记录加密口令的/etc/shadow 文件其权限是： root.root 400
对于普通用户 passwd 只能读而不能改写；shadow 连读都不允
许。可为什么我们可以通过 passwd 命令改写自己的口令？
查看一下命令程序 usr/bin/passwd 文件的属性：
/usr/bin/passwd 文件其权限是：root.root -r-s- -x- -x
这个文件是允许普通用户执行的。root 的执行位是 s，就是这
个 s 使普通用户执行 passwd 时具有了 root 身份从而获得了对
/etc/passwd 和/etc/shadow 的完全访问权(root 什么权没有？)。
实际上表示 Linux 文件权限的是 12bit，前面的 3bit 是:
SUID：若文件可以执行，则按所有者身份运行；
SGID：若文件可以执行，则按组成员身份运行；
sticky：粘接位，结束后仍驻留内存。目前并不常用。在 ls –l 命令显示中的表示方法：
SUID 置位：所有者的执行位的 x 被 s 取代；
SGID 置位：所属组的执行位的 x 被 s 取代；
sticky 置位：其他人的执行位的 x 被 t 取代。
所以，-r-s- -x- -x 用值表示就是 4511。
注意，使用 SUID 和 SGID 位要特别小心。
