【Linux系统】—— 权限的概念

1 权限
- 1.1 什么是权限
- 1.2 为什么要有权限
- 1.3 理解权限
2 文件的权限
- 2.1 文件角色
- 2.2 文件权限
- 2.3 修改文件权限
- - 2.3.1 修改目标属性
  - - 2.3.1.1 字符修改法
    - 2.3.1.2 8进制修改法
  - 2.3.2 修改角色
3 文件权限补充知识点
- 3.1 只能修改自己的文件权限
- 3.2 没有权限
- 3.3 确定权限位规则
- 3.4 root 用户的权限
- 3.5 如何理解可执行
4 目录的权限
- 4.1 rwx 分别对目录代表什么
- 4.2 理解 Linux 多用户之间的隔离
- 4.3 缺省权限
5 粘滞位
- 5.1 现象引出
- 5.2 删除文件所需权限
- 5.3 多用户如何进行文件级别协作
- 5.4 粘滞位

1 权限

1.1 什么是权限

权限的本质：能或不能做某些事情

权限决定的是能还是不能的问题。比如校长能进他的办公室，你就不能进校长办公室；某些电影电视剧只有 VIP 能看，而你不是 VIP 就不能看。

1.2 为什么要有权限

为什么要有权限呢？本质上还是为了控制用户的行为，防止错误的发生。

如果没有权限：一个关键的文件，本来只有管理员才能卸载的，没有权限随便一个普通人就能卸载，那可能导致整个系统的崩溃。我新写的文件，随便被某个人复制过去，我做任何事情都没有任何东西保护……如果没有权限，可能会导致各种各样的错误发生。

权限规则的设定，永远是最顶级的上层的人设计，比如写 Linux 的程序员，以限制普通用户的行为，防止混乱和错误的发生

1.3 理解权限

现在我们对权限的概念还很模糊，我们通过两个例子来了解权限。

例一：
为什么校长能进校长办公室，而你不能进校长办公室？这说明权限首先限制的是“人”
我们再想一想：假如校长叫老王，它能进校长办公室是因为它叫老王还是因为它是校长呢？
我们发现在这个世界上你是谁一点都不重要，你扮演什么角色才是最重要的
一个公司的大老板，事业辉煌时人前人后；日落西山，没人理他。人还是那个人，之所以这样是以为他的角色变了
权限首先限制的是角色

例二：
我是无法再VS上看电影的，我也无法再爱奇艺上写代码。
这说明什么呢？
这说明如果要访问的目标对象天然没有目标属性，那么他也绝对不会具备对应的权限
即便我是爱奇艺的顶级会员，我也没有在其上面写代码的能力，因为爱奇艺压根没有写代码的功能
所以权限要求对应的目标必须具备对应的属性

结论：

权限 = 角色 + 目标权限属性

2 文件的权限

2.1 文件角色

通过前面的学习，我们知道 Linux中一切皆文件，因此未来我们操作 Linux 系统都是面对的对象都是文件。

权限 = 角色 + 目标权限属性

对一个文件来说它的文件属性无非就三个：读权限、写权限、执行权限
而文件的角色又有谁呢？也分三种：拥有者、所属组、other

我们在系统目录下查看到的文件信息基本都如下图所示：

黄框那一列表示文件的拥有者，蓝框那一列表示文件的所属组。那怎么不见 $o t h er$ 呢？ $o t h er$ 不用单独记录，只要不是拥有者和所属组，就是other。拥有者和所属组一定是具体的某个人，而 $o t h er$ 非常多，不必记录，也不可能完全记录

这里问大家一个问题：root、gy、user1、user2等用户与拥有者、所属组、other他们是什么关系呢？
拥有者、所属组、other 是一种角色，像前面的校长角色；而 root、gy、user1、user2 是具体的人，像前面的老王。

一个文件通常有拥有者等角色，而每个角色是由对应的"人"来扮演的。比如 gy 用户，它可以是一个文件的拥有者，也可以是一个文件的 other。他们间并不冲突，反而还互相补充。

什么是所属组呢？
首先所属组可以是很多人构成一组，也可以是一个用户自成一组。现在使用 Linux 很多时候都不用考虑所属组的问题，因为大部分时候都是自成一组

那为什么要设计界出所属组呢？
举个栗子：
背景如下：现在公司让小明所在的 A组与 B组共同研发一个功能，看谁研发出来的更好就用谁的。
小明吭哧吭哧敲了几天代码，一天组长要看小明的代码写的怎么样了。组长要看到小明写的代码，小明就要开放相关文件的权限，如果文件的角色只有拥有者和 other ，那么拥有者无疑是小明，组长是other身份，所以组长要看代码小明只能开放 other 角色的权限，那 B组的成员也是 other 角色，这样不就也可以看到了小明的文件内容了吗。所以 Linux 设计出了所属组的角色，这样小明只需要将组长拉进所属组的角色，开放所属组的权限，这样组织就能看到，而 B组成员还是 other 角色，就看不到小明的代码了。

2.2 文件权限

对于一个文件来讲，它所具备的属性无非就三种：读属性、写属性、执行属性
在 Linux 中：读用 r 表示；写用 w 表示；执行用 x 表示

未来我们表述文件的权限时，要把文件的角色和目标属性结合起来进行表述
如：某某文件的拥有者具备读写属性、所属组具备读写属性、other 具备读属性
对于任意文件来讲，它有三种角色，每种角色对应三种属性

在前面「ll」命令所显示的众多文件属性中，第一大列所显示的属性就代表着文件的权限

它的第一大列的第一列即第一个字符表示文件类型；第一大列除去第一个字符还剩下 9 个字符，这 9 个字符又每三个字符分为一组，每组分别代表着三种角色所拥有的权限，按顺序分别代表着拥有者、所属组、other

每一组分别有三个字符：第一个字符表示该角色是否允许读（r/-）、第二个字符表示该角色是否允许写（w/-）、第三个字符表示该角色是否允许执行（x/-）
每组的的三个字符代表的属性一定是按顺序：读(r/-)、写(w/-)、执行(x/-)，该位置上只能有对应字母和 "-"两种字符
例如描述 root.txt 文件的权限：该文件的拥有者是 root，拥有者能够读、写文件但不能执行；所属组是 root。所属组对该文件只有读权限不能写和执行；other 对该文件只有读权限不能写和执行

Linux表示	说明	Linux表示	说明
r–	只读	-w-	仅可写
–x	仅可执行	rw-	可读可写
-wx	可写和可执行	r-w	可读可执行
rwx	可读可写可执行	—	无权限

2.3 修改文件权限

2.3.1 修改目标属性

2.3.1.1 字符修改法

语法：「chmod」 [选项] 权限文件名
功能：改变文件或目录的访问权限，用它控制文件或目录的访问权限。

+ - = 权限字符

+ : 向权限范围增加权限代号所表示的权限
- : 向权限范围取消权限代号所表示的权限
= : 向权限范围赋予权限代号所表示的权限

用户符号：

u：拥有者
g：拥有者同组
o：其它用户
a：所有用户

我们以 $t es t . t x t$ 文件为例：

给拥有者减去r权限

给所属组加上x权限

给 other 加上 wx 权限

给所有人减去 w 权限

给拥有者和所属组加上 w 权限

2.3.1.2 8进制修改法

除了上面的修改方法，修改文件属性还能利用8进制进行修改

前面曾经说过，每一组都有三个字符，每一位由：r/-、w/-、x/- 二选一，你会发现三个位置上的状态都是两态的，可以认为是：是和否。
既然是两态的，我们为什么不能把他 看做是1/0 呢？如：r- - 看成 100；-w- 看成 010；rw- 看成 110。反正每个位上表示的属性是确定的，1代表该位置有效、0代表代位置无效
同时因为2进制对我们用户不友好，我们转换为 8进制（3个 bit 位）。110 = 6 = rw-、100 = 4 = r--

我们可以利用这点来修改文件属性

2.3.2 修改角色

语法1：「chown」 [选项] 用户名文件名
功能：更改文件或目录的拥有者。

我们以 test.txt 文件为例。此时 test.txt 文件的拥有者和所属组都是 gy 用户

将拥有者改为 root

我们发现不能改！
是不是不能给 root 呢？那我把文件给普通用户

还是不行。

为什么呢？
你想把你的文件给别人，你凭什么给被人呢？将文件的属性修改，是因为这个文件是你的你可以去修改，影响上只能影响你自己。但你把文件给别人，影响的就不仅仅是你自己，要是你给我一个全是 bug 的文件，甩锅给我，那我怎么办。

所以系统默认不允许把文件给别人，想给别人必须高权限！
所以想将文件给别人要切换 root 用户或者指令的短暂提权（你要不要？不要我揍你），这里我们直接切换 root 用户

「chown」还能同时修改拥有者和所属组

语法：「chown」 [选项] 拥有者:所属组文件名
功能：更改文件或目录的拥有者和所属组。

先将 test.txt 文件的拥有者改回来

同时修改拥有者和所属组

如果只想改文件的所属组，可以用「chgrp」

语法：「chgrp」 [选项] 用户组名文件名
功能：修改文件或目录的所属组

3 文件权限补充知识点

3.1 只能修改自己的文件权限

任何人都能修改文件权限吗？
不是的，用户只能修改自己的文件权限

上面我们能改 test.txt 的文件权限，那是因为改文件拥有者是 gy 的，而我们是以 gy 用户的身份去改的

如果文件拥有者是 root/user1/user2 等，gy 用户是不能修改的

3.2 没有权限

如果我们本身不具备某种权限，那么系统会拒绝我们的访问

我现在是 test.txt 文件的拥有者，我可以对文件进行读和写操作

我们将拥有者的 r 权限关闭，无法读只能写

再把拥有者的 w 权限关闭，写也不能写了

可见如果我们本身不具备某种权限，那么系统会拒绝我们的访问。

3.3 确定权限位规则

可是有细心的小伙伴可能发现：gy 用户确实是 test.txt 文件的拥有者，该文件的拥有者权限也确实全关闭了，可 gy 用户还是 test.txt 文件的所属组啊，所属组的读和写权限还在呢？为什么我不能以所属组的身份去访问呢？系统依然不允许我们去读和去写

实际上，在确定权限信息时，系统会先确定用户是谁？是拥有者、所属组还是 other。在 ubunto 和 centos 下用户角色的确定，只确定一次，顺序依次是拥有者、所属组、other。即一旦确定用户是拥有者，只看拥有者对应的权限，即使拥有者没有任何权限也不再二次确认用户是否是所属组。

有小伙伴可能会问：关所属组和 other 的权限我能理解，为什么要拥有者的权限呢？闲的没事干吗
有时候我们是需要将拥有者的权限关闭的。有些文件比较重要，这时为了防止自己误操作，就可以将自己的权限关闭。而且自己的权限随时能打开，毕竟文件是自己的，文件权限随时能修改

3.4 root 用户的权限

我们关闭 test.txt 文件 other 的所有权限

现在，我们用 root身份 去读和写 test.txt 文件
理论上来说，root 不是拥有者也不是所属组，理应是不能读和写的，但事实真是这样吗？

事实是 $roo t$ 即能读也能写。

$roo t$ 还能把整个文件的权限关了，自己依然能访问

听说拥有者能把权限改回来？那我把拥有者改为我自己，这文件你也不要要了

所以： $roo t$ 的权限不受任何权限约束。
所有的规则权限都是用来限制普通人的，总要有一个超用户权限来进行一些错误的修正

这也说明了为什么普通用户不能把文件给别人，而 root 可以强制将文件给别人

3.5 如何理解可执行

在前面我们谈论文件的权利时，主要谈论的是读和写，但别忘了文件还有一个属性是可执行

如果我给角色可执行的权利，那这个文件就可以被执行了吗？

答案是否定的。
可执行权限 != 文件可执行

怎么理解呢？
有一句话叫：给你机会你不中用啊
这句话说明什么呢？什么你想办成一件事，首先要给你机会，其次你要有能力。机会和能力缺一不可。
给你机会你不中用意思是给了你就会但你没这个能力，所以这事你也做不成。

给文件加了可执行权限只是允许这个程序将来可以被执行，但不代表这个程序本身就可以执行。只有你具有可执行权限，在加上你本身就可以执行，两者结合你才能真正的才能执行

4 目录的权限

4.1 rwx 分别对目录代表什么

现在我问大家一个问题：如果我想进入一个目录，需要什么权限呢？会是读权限吗
现在我们想进入 code 目录中

控制变量法，我们挨个来试一下

只开读权限

与读权限没关系

只开写权限

与写权限没有关系

只开执行权限

成功了

所以进入一个目录需要执行权限！

既然进入目录需要执行权限，那读权限和写权限对于目录来讲意味着什么呢？

没有读权限，我们无法查看目录中的文件内容，即「ls」指令无效

没有写权限，我们无法在目录中新建文件或者删除文件

总结：

可执行权限：如果目录没有可执行权限，则无法进入目录中
可读权限：如果目录没有可读权限，则无法通过「ls」等指令看到目录中的文件内容
可写权限：如果目录没有可写权限，则无法在目录中创建文件，也无法在目录中删除文件

那如果我是超级用户呢？
超级用户不受权限约束，即使目录没有任何权限，超级用户依然可以为所欲为

默认情况下，新建一个目录，rwx 权限都要有，因为少一个权限它的操作就不完整

4.2 理解 Linux 多用户之间的隔离

在 Linux 下，可以创建多个用户，用户之间彼此是互相不影响的。 Linux 是怎么做到的呢？

在我们的 Linux 系统中，我们每新建一个普通账号，这个普通账号都会在 home 目录下新建一个以该用户名命名的目录。当以某一用户登录时，默认所处家目录就是：/home/用户名

仔细观察一下 gy 目录，发现它拥有者权限是全部开启，但是所属组和 other 关闭了写的权限。这意味着任何其他用户都不能对其他用户的家目录进行修改。
这样就能实现多用户之间的隔离

4.3 缺省权限

我们新建一个文件，默认权限是这样的

新建一个目录，默认权限是这样的

为什么默认权限会是这样子的？

对于普通文件：起始权限从 666 开始，即普通文件默认不带可执行。
对于目录文件：起始权限从 777 开始。

可是这好像也不对，新建出的普通文件是 664，而目录是 775。甚至各位小伙伴可以自己新建一个普通文件和目录，发现其权限与我当前都不一样。

也就是说最终的权限并不等同于起始权限。系统中有一个概念叫权限掩码，最终的权限还受权限掩码的影响

权限掩码可通过 umsk 去查看

我当前系统的权限掩码是 0002

权限掩码是在系统默认是设置好的，它是一个8进制的数字
第一个 0 我们不用考虑，它是与用户相关的，我们只需要考虑后面的数字
这里的 002 换成二进制 000 000 010
文件最终权限 == 起始权限 &（ ~umask ）

我们以普通文件777为例
777 换成二进制为 111 111 111
000 000 010 按位取反为 111 111 101
按位与得 111 111 101
因此普通文件最终权限为775

那 $u na s k$ 的目的是什么？
$u ma s k$ 最终的目的是：凡是在 $u ma s k$ 总出现的权限，都不应该在最终权限中出现

为什么要有 $u ma s k$ 呢？
如果没有 $u ma s k$ ，一个文件创建时默认的权限，由 OS 自主决定，无法在创建前进行修改。由 $u m s k$ ，则系统可以灵活满足不同的需要。
在有些特殊情况下，我们可以通过配置 $u mak$ 控制文件的默认权限，让我们的代码都是可控的

$u ma s k$ 是可以修改的

这时我们再新建普通文件和目录就没有任何权限啦

$u mak$ 是内存级的，也就是说你修改了 $u ma s k$ ，下次登录时 $u mak$ 还是系统的默认值。

5 粘滞位

5.1 现象引出

下面，我以 root 用户在普通用户 gy 的目录下创建一个 root.txt 文件

此时文件的拥有者与所属组都是 root，我们再将文件的 other 权限全部关闭

我们再切换回普通用户 gy，通过前面的学习我们知道，此时 gy 用户是无法进行读写的

但是我们吃惊的发现，gy 用户居然可以删除 root.txt 文件

为什么呢？我不是文件的拥有者，而且对该文件没有任何的权限，但我却可以删它！

5.2 删除文件所需权限

我不能读不能写你的文件，但我可以把你的文件删了？这正常吗？
在 Linux 中这是正常的，为什么这么说呢？

当前我们是在 lesson5 的目录下

lesson5 用户的拥有者与所属组都是 gy 用户。

gy用户对该目录有写权限，前面我们说过：对一个目录有写权限，就可以修改该目录。创建新文件算是修改目录的内容，那么删除文件是不是修改目录的内容呢？很明显也算。
所以对于目录来讲，你有 w 权限，不仅能创建新文件，删除也算修改，同样可以删除文件
所以为什么 gy 用户能删除 root 用户的文件呢？
答案很简单，因为一个文件能否删除和文件本身无关，只与文件所在目录的 w 权限有关

大家想一想：你先别问我为什么能删root的文件，你先回答我你为什么要在我的目录新建文件，还这么猖狂不给我开权限

一个文件能读能写能执行，是由文件自身决定的，但文件能不能"或"并不由它自己决定，而由它所在的目录决定的
毁灭你，与你何干

事实上，上述情况是很少发生的，因为普通用户是无法进入另一个用户的工作目录下的

我进都进不去，还怎么在里面搞事情呢？
一般能在别人工作目录下新建文件的只有 root；如果是普通用户，那它一定是先变成 root 再进去新建的

5.3 多用户如何进行文件级别协作

现在有一个问题：多用户之间如何进行文件级别的协作呢？
什么意思呢？
举个例子：小明的任务是往文件中写入数据，而小帅的任务是对小明写入的数据进行分析

通过前面的学习，我们意识到这个文件一定不能放在一个私人的账号里，不然另一个人如何进去都是一个问题。

要知道，在 Linux 系统中不仅仅只有 /home 路径，在根目录/下，还有许多与 /home 路径平级的路径，他们不属于任一用户，只属于 root
比如：/tmp

tmp 目录通常放的是临时的数据
我们可以直接将文件放在 tmp 下，该目录给所有人都开放权限，这样大家都能进入该目录访问里面的文件，就能进行多用户之间的协作了。

这里我们为了演示，我们用 root 用户创建一个 temp-backup 文件（在根目录创建文件只能用 root 账号创建），并开放所有权限

比如，现在我用 gy 用户在 temp-backup 目录下创建新文件 gy.txt，gy 用户可以对它进行读写

此时，cwq 用户也可以进入到 temp-backup 目录中，对该文件进行读

当然，如果gy用户如果开放写权限，cwq用户还能对该文件进行写

这样，gy 用户和 cwq 用户之间就能进行文件协作了。

5.4 粘滞位

可是上述有这样一个隐患：如果有人误操作或者故意将 gy.txt 文件删掉怎么办？又或者 cwq 和 gy 闹掰了，cwq 一气之下把 gy.txt 文件删除了怎么办
因为文件的创建与删除至于当前所在目录的 w 权限有关，现在 temp-backup 目录对 other 都开放了 w 权限，也就是说所有人都可以在里面创建文件，也可以删除文件！
能不能通过关闭 w 解决呢？
不行，因为关闭 w，虽然所有人都不能删除了，但是所有人也都不能创建了，也就失去了共享目录的意义

也就是说现在我们有一个需求：对于共享目录，任何人都能创建新文件，但是我们不想让该文件的非拥有者删除文件。

为此，Linux 引入了一个新的权限标志位：t
我们将 t 称为粘滞位

我们先进行实验
首先我们用 root 用户来将 temp-backup 目录加上粘滞位