Linux 权限管理指南：深入理解 chmod 和 chown 命令
Linux 中的权限是操作系统安全模型和文件管理体系的基础组成部分。它们严格控制着谁可以访问文件和目录，以及他们能够执行何种操作。无论是系统管理员、开发人员，还是任何在 Linux 系统上工作的人，都必须理解并正确管理这些权限。
本教程将引导您学习如何使用 chmod（更改文件模式）、chown（更改文件所有权）和 chgrp（更改组所有权）这三个核心命令来设置权限。通过掌握这些命令，您将能够有效地保护文件，实施恰当的访问控制，并防止对 Linux 系统上敏感数据的未经授权访问。
理解 Linux 权限基础
Linux 权限由三组数字或字母表示，每组对应不同的用户或组。这个分层权限系统是 Linux 安全的核心组件，允许对文件和目录的访问进行细粒度控制。
这三组权限分别是：
用户 (User, u)： 文件或目录的所有者。通常是创建文件的人，但所有权可以被转移。
组 (Group, g)： 共享文件或目录相同权限级别的一组用户。组有助于高效地管理多个用户的权限。
其他 (Others, o)： 系统中除所有者和所属组之外的所有用户。
对于每个类别，Linux 定义了三种基本的权限类型：
读取 (Read, r 或 4)： 允许查看文件内容或列出目录内容。
写入 (Write, w 或 2)： 允许修改文件内容或在目录中创建/删除文件。
执行 (Execute, x 或 1)： 允许将文件作为程序运行或访问目录。
通过 ls -l 命令显示的权限字符串是一个 10 字符的字符串。第一个字符表示文件类型（例如，- 表示普通文件，d 表示目录，l 表示符号链接等）。接下来的九个字符分为三组，每组三个字符，分别表示用户（所有者）、组和其他的权限。每组由以下字符组合而成：
r 用于读取权限
w 用于写入权限
x 用于执行权限
- 表示没有权限
例如，字符串 -rwxr-xr-- 可以分解如下：
第一个字符 - 表示普通文件。
接下来的三个字符 rwx 表示用户（所有者）的权限：读、写、执行。
再接下来的三个字符 r-x 表示组的权限：读、执行。
最后三个字符 r-- 表示其他用户的权限：只读。
理解这种字符串表示对于有效管理 Linux 系统中的权限至关重要。
权限的数字（八进制）表示
Linux 权限也可以使用数字（八进制）表示法来表示，它提供了一种简洁的方式来一次性指定所有三类权限：
4 表示读取权限
2 表示写入权限
1 表示执行权限
这些值可以相加来创建组合：
7 (4+2+1) = 读、写、执行
6 (4+2) = 读、写
5 (4+1) = 读、执行
4 = 只读
3 (2+1) = 写、执行
2 = 只写
1 = 只执行
0 = 无权限
例如，权限 chmod 755 设置：
所有者: 7 (读、写、执行)
组: 5 (读、执行)
其他: 5 (读、执行)
这种数字系统使得指定复杂的权限集变得高效。
下表总结了不同的表示及其权限：
符号表示
数字表示
读取
写入
执行
rwx
7
是
是
是
rw-
6
是
是
否
r-x
5
是
否
是
r--
4
是
否
否
-wx
3
否
是
是
-w-
2
否
是
否
--x
1
否
否
是
---
0
否
否
否
特殊权限
除了基本的读、写和执行权限，Linux 还支持特殊权限：
SUID (Set User ID): 当应用于可执行文件时，它允许该文件以文件所有者的权限运行，而不是执行它的用户的权限。这对于需要临时提升权限才能完成特定任务的程序（如 passwd 命令）非常有用。
设置方式: chmod u+s filename 或 chmod 4xxx filename (其中 xxx 表示其他权限)
示例: chmod 4755 /usr/bin/passwd
SGID (Set Group ID): 当应用于可执行文件时，它允许该文件以文件组的权限运行。当应用于目录时，在该目录中创建的新文件将自动继承该目录的组，而不是创建者用户的默认组。这对于共享目录中的团队协作非常有用。
设置方式: chmod g+s filename 或 chmod 2xxx filename (其中 xxx 表示其他权限)
示例: chmod 2775 /shared/project_dir
Sticky Bit: 当在一个目录上设置时，该目录中的文件只能由其所有者、目录所有者或 root 用户删除。这主要用于共享目录（如 /tmp），以防止用户删除其他用户的文件。
设置方式: chmod +t directory 或 chmod 1xxx directory (其中 xxx 表示其他权限)
示例: chmod 1777 /tmp
您可以组合这些特殊权限。例如，在目录上同时设置 SGID 和 Sticky Bit: chmod 3775 directory (3 = 2+1, SGID + Sticky Bit)。
这些特殊权限增加了另一层控制，对于系统文件和共享目录尤其有用。
如何检查权限
要查看文件和目录权限，主要使用 ls -l 命令。-l 标志表示 “long”（长格式），它会显示文件或目录的详细信息，包括其权限、所有权、大小和修改时间。
ls -l /path/to/file
如果需要获取文件或目录的更详细信息，可以使用 stat 命令。stat 命令提供文件系统状态信息，包括文件类型、权限、所有权和时间戳。您可以使用 -c 标志指定输出格式。
stat /path/to/file
ls 和 stat 的一些常用标志包括：
ls 标志:
-l (long): 显示文件或目录的详细信息。
-a (all): 在列表中包含隐藏文件和目录。
-d (directory): 只列出目录本身，不列出其内容。
stat 标志:
-c (format): 指定输出格式。例如，-c %A 以人类可读的格式显示文件权限。
-f (filesystem): 显示包含文件的文件系统信息，而不是文件本身。
-t (terse): 以简洁格式显示信息，适用于脚本解析。
文件和目录权限详解
让我们深入了解 ls -l script.sh 命令显示的权限字符串的细节：
-rwxr-xr-- 1 user group 4096 Apr 25 10:00 script.sh
第一个字符 - 表示 script.sh 是一个普通文件。如果它是一个目录，这个字符将是 d。
接下来的三个字符 rwx 表示文件所有者（用户）的权限。在这种情况下，所有者具有：
r (读) 权限，允许他们查看文件内容。
w (写) 权限，允许他们修改文件。
x (执行) 权限，允许他们将文件作为程序运行。
随后的三个字符 r-x 表示拥有该文件的组的权限。在这种情况下，组具有：
r (读) 权限，允许他们查看文件内容。
x (执行) 权限，允许他们将文件作为程序运行。
没有 w (写) 权限，意味着他们不能修改文件。
最后三个字符 r-- 表示所有其他用户（others）的权限。在这种情况下，其他人具有：
r (读) 权限，允许他们查看文件内容。
没有 w (写) 或 x (执行) 权限，意味着他们不能修改或运行文件。
chmod 命令：符号模式和数字模式
chmod 命令用于更改文件或目录的模式（权限）。它支持符号模式和数字模式两种方式。
数字模式 (Octal Mode)
以下示例演示如何使用 chmod 命令的数字模式设置文件和目录的权限：
chmod 755 filename
# 将 'filename' 的权限设置为 rwxr-xr-x，允许所有者读、写、执行，组读、执行，其他人读、执行。
chmod 644 document.txt
# 将 'document.txt' 的权限设置为 rw-r--r--，允许所有者读、写，组只读，其他人只读。
chmod 700 private.sh
# 将 'private.sh' 的权限设置为 rwx------，允许所有者读、写、执行，并拒绝组和其他人的所有权限。
符号模式 (Symbolic Mode)
符号模式允许您通过符号 (u, g, o, a 代表 user, group, others, all) 和操作符 (+ 添加权限, - 移除权限, = 设置权限) 来修改权限。
chmod u+x script.sh
# 此命令为文件 'script.sh' 的用户（所有者）添加执行权限，允许其运行脚本。
chmod g-w file.txt
# 此命令删除与文件 'file.txt' 关联的组的写入权限，确保组成员不能修改文件。
chmod o=r file.txt
# 此命令将文件 'file.txt' 的其他用户（除所有者和组成员之外的所有用户）的权限设置为只读，允许他们查看文件内容但不能修改或执行。
chmod 常见使用示例
chmod 命令是管理 Linux 文件和目录权限的强大工具。以下是一些如何使用 chmod 实现特定权限设置的示例：
授予用户只读权限
要授予用户对文件的只读权限，可以使用数字模式 400。这将权限设置为 r--------，允许所有者读取文件但不能写入或执行。
chmod 400 file.txt
授予用户对文件夹的写入权限
要授予用户对文件夹的写入权限，可以使用符号模式 u+w。这将为文件夹的用户（所有者）添加写入权限，允许其修改内容。
chmod u+w /path/to/folder
使脚本可执行
要使脚本可执行，可以使用符号模式 +x。这将为脚本的用户（所有者）、组和其他用户添加执行权限。如果只想让所有者可执行，则使用 u+x。
chmod +x deploy.sh
这些示例展示了 chmod 命令在为不同用户和用例管理权限方面的灵活性。
如何使用 chown 和 chgrp
chown 和 chgrp 命令是管理 Linux 中文件和目录所有权的重要工具。理解如何使用这些命令对于维护适当的访问控制以及确保文件和目录仅对授权用户可访问至关重要。
chown 命令
chown 命令用于更改文件或目录的所有权。它允许您为文件或目录指定新的所有者和组，确保正确的用户或组对其具有访问权限。chown 命令的基本语法如下：
sudo chown username file.txt
# 将 file.txt 的所有者更改为 username
sudo chown username:groupname file.txt
# 将 file.txt 的所有者更改为 username，同时将组所有者更改为 groupname
chgrp 命令
chgrp 命令用于更改文件或目录的组所有权。它允许您为文件或目录指定新的组，而无需更改其所有者。chgrp 命令的基本语法如下：
sudo chgrp groupname file.txt
# 将 file.txt 的组所有者更改为 groupname
Linux 中的递归权限
在 Linux 中，递归权限允许您同时将权限应用于目录及其所有子文件和子目录。当您需要管理大量文件或目录的权限时，这尤其有用。
基本语法
应用递归权限的基本语法如下：
chmod -R permissions directory
chown -R owner:group directory
chgrp -R group directory
其中，-R 标志表示“递归”（Recursive）。
递归权限示例
以下示例演示如何将递归权限应用于目录及其内容：
chmod -R 755 /var/www/html
此命令将 /var/www/html 目录及其所有内容的权限设置为 755。这意味着所有者具有读、写和执行权限，组具有读和执行权限，其他用户具有读和执行权限。
chown -R user:group /var/www/html
此命令将 /var/www/html 目录及其所有内容的所有权更改为 user，并将组所有权设置为 group。这确保了指定的用户和组对目录及其内容具有适当的访问权限。
常见用例
Web 主机文件夹设置
在设置 Web 主机环境时，必须确保 Web 服务器（如 Apache, Nginx）具有访问和提供文件的必要权限。例如，您可能希望将 /var/www/html 目录的权限设置为 755，以允许 Web 服务器读取和执行文件，同时防止其他人写入该目录。此外，所有权通常需要设置为 Web 服务器运行的用户和组（如 www-data）。
sudo chown -R www-data:www-data /var/www/html
sudo chmod -R 755 /var/www/html
部署脚本权限
在部署脚本时，您可能需要确保它具有执行权限。例如，如果您有一个名为 deploy.sh 的脚本需要在部署期间执行，您可以使用以下命令将其权限设置为 755：
chmod 755 deploy.sh
这允许所有者读取、写入和执行脚本，而其他人只能读取和执行它。
为协作设置组访问权限
在协作环境中，多个用户处理同一个项目是很常见的。为了促进协作，您可能需要设置组权限，以允许多个用户访问和修改文件。例如，如果您有一个名为 project 的项目目录，并且希望允许 developers 组的成员读、写和执行目录中的文件，可以使用以下命令：
sudo chown -R :developers project
sudo chmod -R 2775 project
第一个命令将 project 目录及其内容的组所有权设置为 developers。第二个命令设置权限为 2775，其中 2 表示设置了 SGID，确保在该目录中创建的新文件将自动继承 developers 组。这样，组成员可以读、写和执行文件，而其他人只能读和执行。
常见错误和解决方案
到处设置 777
将所有文件和目录的权限设置为 777 是一种严重的安全风险，因为它允许任何人读取、写入和执行它们。这可能导致未经授权的访问和潜在的安全漏洞。
解决方案： 根据每个文件或目录的具体需求使用更严格、最小化的权限。例如，对目录使用 755，对文件使用 644，以允许所有者写入，其他人读取。
chmod -R 755 /path/to/directory # 目录通常设置为755
chmod -R 644 /path/to/file # 文件通常设置为644
忘记脚本的执行权限
忘记设置脚本的执行权限可能会阻止它们被执行，导致错误或意外行为，例如“Permission denied”错误。
解决方案： 确保为适当的用户或组设置了脚本的执行权限。例如，要为所有者添加执行权限，请使用以下命令：
chmod u+x script.sh
因权限不正确而破坏 Web/应用访问
Web 或应用程序目录上不正确的权限可能会阻止服务器访问或提供文件，从而导致错误或停机。
解决方案： 确保 Web 服务器用户（例如 www-data 或 nginx）具有访问和提供文件的必要权限。例如，要设置 Apache Web 服务器访问 /var/www/html 目录中文件的权限，请使用以下命令：
sudo chown -R www-data:www-data /var/www/html
sudo chmod -R 755 /var/www/html
最佳实践
DOs (推荐)
描述
示例命令
使用最小权限原则
从最小权限开始，只授予必需的权限以确保安全。
chmod 755 directory
使用组简化协作
分配组权限来高效管理团队协作。
chown -R :group directory
始终仔细检查递归命令
执行 chmod -R 或 chown -R 前，验证其影响，避免意外更改。
ls -lR directory
定期审计权限
定期检查关键文件和目录的权限设置。
find /path -type f -perm /007
DON’Ts (不推荐)
描述
示例命令
避免使用 chmod 777
除非绝对必要且清楚风险，否则避免使用 chmod 777，以防范安全风险。
chmod 755 directory
不要忘记脚本的执行权限
确保脚本具有执行权限 (chmod +x) 才能正常运行。
chmod +x script.sh
不要过度限制文件导致应用无法访问
平衡权限，避免过度限制导致应用程序或服务无法正常读写文件。
chmod 644 file.txt
常见问题解答 (FAQ)
1. 如何在 Linux 中设置权限？
要在 Linux 中设置权限，您可以使用 chmod 命令。此命令允许您更改文件或目录的权限。例如，要设置文件的权限以允许所有者读、写和执行，组读和执行，以及其他用户读和执行，您可以使用以下命令：
chmod 755 filename
这将把 filename 的权限设置为 rwxr-xr-x，这等同于数字值 755。
2. chmod 755 或 777 是什么意思？
chmod 755 设置文件或目录的权限，允许所有者读、写和执行 (rwx)，组读和执行 (r-x)，以及其他用户读和执行 (r-x)。这是目录和可执行文件的常见且安全的权限设置。
另一方面，chmod 777 设置文件或目录的权限，允许所有人（所有者、组和其他人）读、写和执行 (rwxrwxrwx)。出于安全原因，强烈不建议这样做，因为它允许任何用户修改或执行文件或目录，极易导致安全漏洞。
以下是使用 chmod 777 设置权限的示例：
chmod 777 filename
这将把 filename 的权限设置为 rwxrwxrwx，这等同于数字值 777。
3. chmod 666 或 777 是什么意思？
chmod 666 设置文件或目录的权限，允许所有人（所有者、组和其他人）读和写 (rw-rw-rw-)，但不允许执行。这通常用于数据文件，但不适用于可执行文件或目录（因为目录需要执行权限才能进入）。
chmod 777，如前所述，设置文件或目录的权限，允许所有人读、写和执行。
以下是使用 chmod 666 设置权限的示例：
chmod 666 filename
这将把 filename 的权限设置为 rw-rw-rw-，这等同于数字值 666。
4. chmod 400 是什么意思？
chmod 400 设置文件或目录的权限，只允许所有者读取 (r--------)，并拒绝组和其他人的所有权限。这是一种限制性权限设置，适用于只能由所有者访问的敏感文件，例如包含个人密钥的文件。
以下是使用 chmod 400 设置权限的示例：
chmod 400 filename
这将把 filename 的权限设置为 r--------，这等同于数字值 400。
结论
在 Linux 中设置权限是系统管理和安全的关键方面。通过理解不同的权限设置以及如何使用 chmod、chown 和 chgrp 等核心命令，您可以确保您的文件和目录仅对授权用户可访问，并确保您的系统安全可靠。掌握这些基础知识对于构建健壮和安全的 Linux 环境至关重要。
关于
关注我获取更多资讯
📢 公众号
💬 个人号
本文链接地址：https://blog.eimoon.com/p/linux-permissions-chmod-chown-guide/
作者：eimoon.com
分享转载说明：本文由作者原创，转载请注明出处。