一、文件的权限：
1. 文件属性：
文件属性操作
chown：设置文件的所有者
chgrp：设置文件的属组信息
2.修改文件的属主和属组
chown 修改文件的属主
chown[OPTION]... [OWNER][:[GROUP]] FILE...
用法：
OWNER 直接跟所有者
OWNER:GROUP 直接跟所有者和所属组（命令中的冒号可用.替换）；
-R: 递归
chown[OPTION]... --reference=RFILE FILE...
修改文件的属.：chgrp
chgrp[OPTION]... GROUP FILE...
chgrp[OPTION]... --reference=RFILE FILE...
-R：递归
3.文件的权限
文件的权限主要针对三类对象进行定义：
三个字符一组
owner: 属主, u 前三位
group: 属组, g 中间三位
other: 其他, o 最后三位
每个文件针对每类访问者都定义了三种权限：
r: Readable 读权限
w: Writable 写权限
x: eXcutable 执行权限
文件：
r: 可使用文件查看类工具获取其内容（针对文本文件）
w: 可修改文件内容但不能删除文件本身
x: 可以把此文件提请内核启动为一个进程（针对二进制程序或者脚本）
目录：
r: 可以使用ls查看此目录中文件列表，但不能访问文件（cd进去），也不能查看文件的元数据。
w: 可在此目录中创建和删除此目录中的文件，配合x权限。
x: 可以使用ls -l查看此目录中文件列表，可以cd进入此目录，可以访问文件。
X:只给目录x权限，不给文件x权限 配合R选项只能用模式法
4.文件的权限操作
文件权限（rwx|X）
文件权限操作命令 Chmod
5.数字法（八进制数字）
---000 0 --x 001 1
-w-010 2 -wx 011 3
r--100 4 r-x 101 5
rw-110 6 rwx 111 7
例如：
rw-r----- 640
rwxr-xr-x: 755
6.chmod 修改文件的权限
chmod[OPTION]... OCTAL-MODE FILE...
-R: 递归修改权限
chmod[OPTION]... MODE[,MODE]... FILE...
MODE：
修改一类用户的所有权限：
u= g= o= ug= a= u=,g=
修改一类用户某位或某些位权限
u+ u-g+ g-o+ o-a+ a-+ -
chmod[OPTION]... --reference=RFILE FILE...
参考RFILE文件的权限，将FILE的修改为同RFILE；
7.权限设置的一些方法：
chgrp sales testfile
chown root:admins testfile
chmod u+wx,g-r,o=rx file
chmod -R g+rwX /testdir
chmod 600 file
chown mage testfile
8. umask 新建目录和文件的默认权限
（1）umask值可以用来保留在创建文件权限。
在默认情况下，目录的权限为755，文件的权限为644。
（2）新建文件（file）权限（为了安全没有可执行权限）:
666-umask （如果所得结果某位存在执行（奇数）权限，则将其权限+1,偶数保留）
新建目录（dir）权限:
777-umask
（3）非特权用户umask是002
root的umask是022
（4）#umask: 查看当前的值
umask#: 直接指定 如：umask u=rex，g=r，o=
umask002
（5） umask–S 模式方式显示新建文件夹的默认权限
（6） umask–p 输出可被调用
（7）全局设置：/etc/bashrc
用户设置：~/.bashrc 或者 ~/.bash_profile
9.Linux文件系统上的特殊权限
SUID, SGID, Sticky
三种常用权限 ：r, w, x
三类对象 ：user, group, other
安全上下文：
前提：进程有属主和属组；文件有属主和属组
(1) 任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
(2) 启动为进程之后，其进程的属主为发起者；进程的属组为发起者所属的组
(3) 进程访问文件时的权限，取决于进程的发起者
(a) 进程的发起者，同文件的属主：则应用文件属主权限
(b) 进程的发起者，属于文件属组；则应用文件属组权限
(c) 应用文件“其它”权限
10.可执行文件上的SUID权限
任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
（1）启动为进程之后，其进程的属主为原程序文件的属主
（2）SUID只对二进制可执行程序才有意义，才有效
（3）SUID设置在目录上无意义
（4）权限设定 4代表suid
chmod u+s FILE...
chmod u-s FILE...
11.可执行文件上的SGID权限
（1）任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
（2）启动进程之后，其进程的属主为原程序的属主
（3）权限设定： 2代表sgid
chmod g+s FILE...
chmod g-s FILE...
12.目录上的SGID权限
（1）默认情况下，用户创建文件时，其属组为此用户所属的主组
（2）一旦某目录被设定了SGID，则对此目录有写权限的用户在此目录中创建的文件所属的组为此目录的属组
（3）通常用于创建一个协作目录
（4）权限设定：
chmod g+s DIR...
chmod g-s DIR...
13.sticky位
（1）具有写权限的目录通常用户可以删除该目录中的任何文件，无论该文件的权限或拥有权
（2）在目录设置Sticky 位，只有文件的所有者或root可以删除该文件
（3）sticky 设置在文件上无意义
（4）权限设定：1代表sticky
chmodo+tDIR...
chmodo-t DIR...
14.权限位映射
SUID: user,占据属主的执行权限位
s: 属主拥有x权限
S：属主没有x权限
SGID: group,占据属组的执行权限位
s: group拥有x权限
S：group没有x权限
Sticky: other,占据other的执行权限位
t: other拥有x权限
T：other没有x权限
15.chattr 设定文件特定属性
chattr +i 不能删除，改名，更改
chattr +A 不想会更改访问时间
lsattr 显示特定属性
16.访问控制列表
（1）ACL：Access Control List，实现灵活的权限管理
除了文件的所有者，所属组和其它人，可以对更多的用户设置权限
CentOS7.0默认创建的xfs和ext4文件系统有ACL功能。
CentOS7.X之前版本，默认手工创建的ext4文件系统无ACL功能。需手动增加:
tune2fs –o acl/dev/sdb1
mount –o acl/dev/sdb1 /mnt
ACL生效顺序：所有者，自定义用户，自定义组，其他人
（2）为多用户或者组的文件和目录赋予访问权限rwx
mount -o acl /directory
etfacl file |directory
setfacl -m u:wang:rwx file|directory
setfacl -Rm g:sales:rwX directory
setfacl -M file.acl file|directory 系统调用文件里的设置
setfacl -m g:salesgroup:rw file| directory
setfacl -m d:u:wang:rx directory
setfacl -x u:wang file |directory
setfacl -X file.acl director 系统删除文件里的设置
（3）ACL文件上的group权限是mask 值（自定义用户，自定义组，拥有组的最大权限）,而非传统的组权限
getfacl可看到特殊权限：flags
默认ACL权限给了x，文件也不会继承x权限。
base ACL 不能删除
setfacl-k dir 删除默认ACL权限
setfacl-b file1清除所有ACL权限
getfaclfile1 | setfacl--set-file=-file2 复制file1的acl权限给file2
（4）mask只影响除所有者和other的之外的人和组的最大权限
Mask需要与用户的权限进行逻辑与运算后，才能变成有限的权限(Effective Permission)
用户或组的设置必须存在于mask权限设定范围内才会生效。 setfacl-m mask::rxfile
--set选项会把原有的ACL项都删除，用新的替代，需要注意的是一定要包含UGO的设置，不能象-m一样只是添加ACL就可以
.如：setfacl --set u::rw,u:wang:rw,g::r,o::-file1
（5）备份和恢复ACL
主要的文件操作命令cp和mv都支持ACL，只是cp命令需要加上 -p 参数。但是tar等常见的备份工具是不会保留目录和文件的ACL信息。
#getfacl -R /tmp/dir1 > acl.txt
#setfacl -R -b /tmp/dir1
#setfacl -R --set-file=acl.txt /tmp/dir1
#getfacl -R /tmp/dir1