1
[root@oldboyedu ~]# mkdir /oldboy
2
[root@oldboyedu ~]# touch /oldboy/{1..3}.txt
3
[root@oldboyedu ~]# echo pwd > /oldboy/1.txt
4
# 将pwd写入进去，写入的是字符
5
# 当文件有rx权限，可以执行pwd命令
6
# 只有x啥也干不了
7
# 下文有详细解析
8
[root@oldboyedu ~]# tree /oldboy/
9
/oldboy/
10
├── 1.txt
11
├── 2.txt
12
└── 3.txt
13
0 directories, 3 files
14
[root@oldboyedu ~]# chown oldboy.oldboy /oldboy/*
15
# 用root进行修改
16
# 没有-R 只修改目录下所有文件的属主和属组
17
# 并没有修改目录的属主和属组!!!

1
# 在oldboy用户下执行
2
# 文件默认权限为 rw-r--r--      644
3
# 目录默认权限为 rwxr-xr-x      755
4
# 这里oldboy为这些目录的陌生人，只需看后三位权限即可!!!
5

6
touch /etc/a.txt
7
# oldboy没有/etc目录的w权限，目录rwx可创建，故无法在/etc/目录下创建文件
8

9
echo aaa >> /etc/passwd
10
# oldboy只有这个文件的r权限，缺少文件的w权限，文件rw可修改！没有办法修改文件的内容
11

12
cd /root/
13
# 没有/root/目录的x权限，目录rwx可进入
14

15
[root@oldboy home]# ll -d /root
16
dr-xr-x--- 5 root root 248 Dec 18 16:07 /root
17
# /root目录不是默认的权限755

1
[root@oldboyedu ~]# ll /usr/bin/rm
2
-rwxr-xr-x 1 root root 67840 Apr 21  2022 /usr/bin/rm
3

4
[root@oldboyedu ~]# chmod u+s /usr/bin/rm
5
[root@oldboyedu ~]# ll /usr/bin/rm
6
-rwsr-xr-x 1 root root 67840 Apr 21  2022 /usr/bin/rm
7

8
[root@oldboyedu ~]# stat /usr/bin/rm
9
  File: '/usr/bin/rm'
10
  Size: 67840       Blocks: 136        IO Block: 4096   regular file
11
Device: fd00h/64768d    Inode: 67357941    Links: 1
12
Access: (4755/-rwsr-xr-x)  Uid: (    0/    root)   Gid: (    0/    root)
13
Access: 2025-11-12 14:38:56.811460805 +0800
14
Modify: 2022-04-21 15:20:32.000000000 +0800
15
Change: 2025-11-13 11:41:02.479001213 +0800
16
 Birth: -
17
# 别的普通用户再执行rm的时候，就相当于这个文件的属主root在执行！
18

19
# 解除文件属主的s权限位:
20
[root@oldboyedu ~]# chmod u-s /usr/bin/rm

1
# 依旧是两个窗口，root和oldboy用户
2

3
# ===== 切root =====
4
[root@oldboy /]# rm -rf /data
5
[root@oldboy /]# mkdir /data
6
[root@oldboy /]# ll -d /data
7
drwxr-xr-x 2 root root 6 Dec 19 11:58 /data
8
[root@oldboy /]# echo aaa > /data/1.txt
9
[root@oldboy /]# ll /data/1.txt
10
-rw-r--r-- 1 root root 4 Dec 19 12:05 /data/1.txt
11

12
# ===== 切oldboy =====
13
[oldboy@oldboy ~]$ cd /data
14
[oldboy@oldboy data]$ ll
15
total 4
16
-rw-r--r-- 1 root root 4 Dec 19 12:05 1.txt
17
# 是因为目录的后三位有r和x权限，oldboy才能进入到这个目录，并查看目录下的内容
18

19
[oldboy@oldboy data]$ cat 1.txt
20
aaa
21
# 是因为这个文件后三位有r权限所以能够查看文件里面的内容！
22

23
[oldboy@oldboy data]$ echo bbb >> 1.txt
24
-bash: 1.txt: Permission denied
25
# 因为文件后三位只有r权限并没w权限，自然没有办法进行文件内容的修改
26

27
[oldboy@oldboy data]$ ./1.txt
28
-bash: ./1.txt: Permission denied
29
# 文件后三位没有x权限，没法执行！
30

31
[oldboy@oldboy data]$ touch 2.txt
32
touch: cannot touch '2.txt': Permission denied
33
[oldboy@oldboy data]$ rm -rf 1.txt
34
rm: cannot remove '1.txt': Permission denied
35
# 这里得看/data目录权限，目录后三位仅有r-x权限，没有w，不能进行文件的创建、删除！
36

37
# ===== 切root给/data目录后三位增加w权限 =====
38
[root@oldboy /]# chmod o+w /data/
39
[root@oldboy /]# ll -d /data/
40
drwxr-xrwx 2 root root 19 Dec 19 12:05 /data/
41

42
# ===== 切oldboy =====
43
[oldboy@oldboy data]$ touch 2.txt
44
[oldboy@oldboy data]$ ll
45
total 4
46
-rw-r--r-- 1 root   root   4 Dec 19 12:05 1.txt
47
-rw-r--r-- 1 oldboy oldboy 0 Dec 19 12:23 2.txt
48
# 因为目录有了rwx权限，自然是可以对目录下的文件随意创建、rm删除
49
# 可以删除自己的文件，也可以删除root的文件!!!
50
# 是否可以删除文件和文件本身的权限没有关系，取决于目录的权限！
51
# 2.txt的属主属组为oldboy，因为这个文件是oldboy用户创建的
52
# 而1.txt的属主和属组为root
53

54
[oldboy@oldboy data]$ rm -rf 2.txt
55
[oldboy@oldboy data]$ rm -rf 1.txt
56
[oldboy@oldboy data]$ ll
57
total 0
58
# 两个都能删掉了！

1
# ===== 切root =====
2
[root@oldboy /]# chmod 1777 /data
3
[root@oldboy /]# stat /data
4
  File: '/data'
5
  Size: 6           Blocks: 0          IO Block: 4096   directory
6
Device: fd00h/64768d    Inode: 868706      Links: 2
7
Access: (1777/drwxrwxrwt)  Uid: (    0/    root)   Gid: (    0/    root)
8
Access: 2025-12-19 12:47:19.182280711 +0800
9
Modify: 2025-12-19 12:23:55.283895328 +0800
10
Change: 2025-12-19 12:55:20.482526180 +0800
11

12
[root@oldboy /]# touch /data/1.txt
13
[root@oldboy /]# ll /data/1.txt
14
-rw-r--r-- 1 root root 0 Dec 19 12:57 /data/1.txt
15

16
# ===== 切oldboy验证 =====
17
[oldboy@oldboy data]$ touch 2.txt
18
[oldboy@oldboy data]$ ll
19
total 0
20
-rw-r--r-- 1 root   root   0 Dec 19 12:57 1.txt
21
-rw-r--r-- 1 oldboy oldboy 0 Dec 19 12:58 2.txt
22
[oldboy@oldboy data]$ rm -rf 2.txt
23
# 自己的文件，删除成功！
24
[oldboy@oldboy data]$ rm -rf 1.txt
25
rm: cannot remove '1.txt': Operation not permitted
26
# 别人的文件，删不掉！✅ 粘滞位生效

1
# （1）getfacl - 查看ACL权限
2
'get f acl' # 查看ACL权限
3
getfacl 目录名or文件名
4

5
# （2）setfacl - 设置ACL权限
6
setfacl -m u:用户名:权限 file
7
setfacl -m g:组名:权限 file
8
# -m 设置用户或者组的ACL
9

10
# 为用户设置无权限（明确拒绝）
11
setfacl -m u:用户名:- file
12
'后面跟的是-  无权限！'
13

14
# 删除特定用户的ACL
15
setfacl -x u:用户名 file
16
'后面无需再跟: 一个:就够用了！'
17

18
# 清除所有ACL，恢复基本权限
19
setfacl -b file
20

21
# （3）识别带有ACL的文件
22
# 使用ls -l时，权限位后有+号表示该文件有ACL：
23
-rw-rw-r--+    # 后面有+号！
24

25
# （4）复制文件的acl权限
26
getfacl 1.txt | setfacl --set-file=- 2.txt
27
# 等于号后面有个 - ，它是标准输入
28
# --set-file 长选项赋值给 2.txt

1
root@rocky10:/test# touch 1.txt 2.txt
2
root@rocky10:/test# ll *.txt
3
-rw-r--r--. 1 root root 0 Mar  6 08:51 1.txt
4
-rw-r--r--. 1 root root 0 Mar  6 08:51 2.txt
5
root@rocky10:/test# setfacl -m u:test:rwx 1.txt
6
root@rocky10:/test# ll *.txt
7
-rw-rwxr--+ 1 root root 0 Mar  6 08:51 1.txt
8
-rw-r--r--. 1 root root 0 Mar  6 08:51 2.txt
9
root@rocky10:/test# getfacl 1.txt | setfacl --set-file=- 2.txt
10
# 把1.txt的权限赋值给2.txt
11
root@rocky10:/test# getfacl 2.txt
12
# file: 2.txt
13
# owner: root
14
# group: root
15
user::rw-
16
user:test:rwx
17
# 这样2.txt也有了test用户的权限！
18
group::r--
19
mask::rwx
20
other::r--

1
[root@Rocky10 home]# mkdir test
2
[root@Rocky10 home]# getfacl test
3
# -------------------
4
# file: test
5
# owner: root
6
# group: root
7
user::rwx
8
group::r-x
9
other::r-x
10
# 上面都是默认的权限，也就是ll -d显示出来的权限！
11
# -------------------
12
[root@Rocky10 home]# ll -d test/
13
drwxr-xr-x. 2 root root 6 Mar  6 09:14 test/
14

15
[root@Rocky10 home]# useradd www
16
[root@Rocky10 home]# id www
17
uid=1000(www) gid=1000(www) groups=1000(www)
18
# 使用www用户测试！！
19

20
[root@Rocky10 home]# setfacl -m u:www:r-x ./test/
21
[root@Rocky10 home]# ll -d ./test/
22
drwxr-xr-x+ 2 root root 6 Mar  6 09:14 ./test/
23
# 后面有+号！
24
'说明有ACL权限控制'
25

26
[root@Rocky10 home]# getfacl ./test/
27
# file: test/
28
# owner: root
29
# group: root
30
user::rwx
31
user:www:r-x    # 在这里！
32
group::r-x
33
mask::r-x    # 多了一个mask！！
34
other::r-x
35

36
[root@Rocky10 home]# useradd hhh
37
[root@Rocky10 home]# id hhh
38
uid=1001(hhh) gid=1002(hhh) groups=1002(hhh)
39

40
[root@Rocky10 home]# chown hhh:hhh ./test/
41
[root@Rocky10 home]# getfacl ./test/
42
# file: test/
43
# owner: hhh
44
# group: hhh
45
user::rwx
46
user:www:r-x
47
'即使修改属主属组，它也不会消失！'
48
group::r-x
49
mask::r-x
50
other::r-x
51

52
[root@Rocky10 home]# chown root:root ./test/
53
# 修改回来！
54

55
[root@Rocky10 home]# setfacl -m g:hhh:--x ./test/
56
# 增加个别组的权限
57
[root@Rocky10 home]# getfacl ./test/
58
# file: test/
59
# owner: root
60
# group: root
61
user::rwx
62
user:www:r-x
63
group::r-x
64
group:hhh:--x    # 在这！
65
mask::r-x
66
other::r-x
67

68
[root@Rocky10 home]# setfacl -x g:hhh ./test
69
# 删除组hhh的权限！
70
[root@Rocky10 home]# getfacl ./test/
71
# file: test/
72
# owner: root
73
# group: root
74
user::rwx
75
user:www:r-x
76
group::r-x    # 没有组hhh的权限了！
77
mask::r-x
78
other::r-x
79

80
[root@Rocky10 home]# setfacl -b ./test/
81
# 清空默认的ACL控制列表
82
'命令是setfacl了，并不是getfacl，它是用来查看的！'
83

84
# getfacl 测试 -b 选项（注意：getfacl没有-b选项！）
85
[root@Rocky10 home]# getfacl -b ./test/
86
getfacl: invalid option -- 'b'
87
Usage: getfacl [-aceEsRLPtpndvh] file ...
88
Try `getfacl --help' for more information.
89

90
[root@Rocky10 home]# getfacl ./test/
91
# file: test/
92
# owner: root
93
# group: root
94
user::rwx
95
group::r-x
96
other::r-x

1
[root@Rocky10 home]# getfacl 1.txt
2
# file: 1.txt
3
# owner: root
4
# group: root
5
user::rw-
6
group::r--
7
group:hhh:r--
8
mask::r--    '现在是r--'
9
other::r--
10

11
[root@Rocky10 home]# setfacl -m m::- 1.txt
12
# -m选项！！！
13
# m:留空:-
14
# 这里我设置的是-没有任何权限，实际上默认设置即可
15

16
[root@Rocky10 home]# getfacl 1.txt
17
# 再次查看！
18
# file: 1.txt
19
# owner: root
20
# group: root
21
user::rw-    '没有变'
22
group::r--          #effective:--- '实际有效'
23
group:hhh:r--       #effective:--- '实际有效'
24
mask::---    '改为---'
25
other::r--    '没有变'

1
# 以root身份执行以下准备命令
2
[root@Rocky10 ~]# groupadd dev
3
[root@Rocky10 ~]# groupadd test
4
groupadd: group 'test' already exists
5
[root@Rocky10 ~]# useradd -m -G dev alice    # 开发部员工
6
[root@Rocky10 ~]# useradd -m -G dev bob      # 开发部员工
7
[root@Rocky10 ~]# useradd -m -G test carol   # 测试部员工
8
[root@Rocky10 ~]# useradd -m -G test dave    # 测试部员工
9
[root@Rocky10 ~]# mkdir -p /company/{dev_share,test_share,public,scripts}
10
[root@Rocky10 ~]# tree /company/
11
/company/
12
├── dev_share
13
├── public
14
├── scripts
15
└── test_share
16
5 directories, 0 files

1
[root@Rocky10 ~]# su - carol -c "touch /company/public/from_test.txt"
2
[root@Rocky10 ~]# ll /company/public/from_test.txt
3
-rw-r--r--. 1 carol carol 0 Mar  5 15:01 /company/public/from_test.txt
4

5
# 测试删除部分！
6
[root@Rocky10 ~]# su - alice -c "rm -rf /company/public/from_test.txt"
7
rm: cannot remove '/company/public/from_test.txt': Operation not permitted
8
# alice 尝试删除carol的文件，删除不掉！
9

10
[root@Rocky10 ~]# su - carol -c "rm -rf /company/public/from_test.txt"
11
[root@Rocky10 ~]# ll /company/public/from_test.txt
12
ls: cannot access '/company/public/from_test.txt': No such file or directory
13
# 自己可以删除自己的文件！✅
14

15
[root@Rocky10 ~]# rm -rf /company/public/*
16
[root@Rocky10 ~]# ll /company/public/
17
total 0
18
# root随便删除！✅