如何防止组和其他用户访问文件

简介

在 Linux 世界中，理解和管理文件权限对于确保系统的安全性和隐私性至关重要。本教程将指导你完成限制组和其他用户对文件的访问的过程，使你能够掌控自己的数据并保护其免受未经授权的访问。

Linux 文件权限概述

Linux 文件权限是一个基本概念，用于管理谁可以访问、修改和执行文件及目录。在 Linux 操作系统中，每个文件和目录都有一组与之关联的权限，这些权限决定了文件所有者、文件所属组以及其他用户的访问级别。

文件权限基础

在 Linux 中，文件权限由一组 10 个字符表示，其中第一个字符表示文件类型（例如，普通文件用 - 表示，目录用 d 表示），其余 9 个字符表示文件所有者、所属组和其他用户的权限。

每个类别（所有者、组和其他用户）的权限由三个字符表示：

• 读（r）：允许用户读取文件内容。
• 写（w）：允许用户修改文件内容。
• 执行（x）：允许用户将文件作为程序执行。

查看和修改文件权限

你可以使用 ls -l 命令查看当前文件权限，该命令以以下格式显示文件权限：

-rw-r--r-- 1 user group 1234 Apr 24 12:34 file.txt

要修改文件权限，可以使用 chmod 命令。chmod 命令允许你更改文件所有者、所属组和其他用户的权限。例如，要使文件所有者可读可执行，但组和其他用户只能读，可以使用以下命令：

chmod 754 file.txt

在此示例中，权限设置如下：

• 所有者：读（7）、写（5）、执行（4）
• 组：读（5）、无写权限（0）、无执行权限（0）
• 其他用户：读（4）、无写权限（0）、无执行权限（0）

继承和掩码（umask）

创建新文件或目录时，默认权限由 umask 值决定，umask 是一个系统范围的设置，用于指定新创建文件和目录的默认权限。你可以使用 umask 命令查看和修改 umask 值。

## 查看当前 umask 值
umask

## 将 umask 值设置为 022（Ubuntu 22.04 上的默认值）
umask 022

通过理解 Linux 文件权限和 umask 设置，你可以有效地控制对文件和目录的访问，确保系统具有适当的安全级别。

限制组和其他用户对文件的访问

在许多情况下，你可能希望将对某些文件或目录的访问限制在特定的组或其他用户，以确保只有授权人员才能查看、修改或执行其中的内容。Linux 提供了各种机制来实现这种级别的文件访问控制。

移除组和其他用户的权限

限制组和其他用户访问的最简单方法之一是移除他们对文件或目录的权限。你可以使用 chmod 命令来实现这一点：

## 移除组和其他用户的权限
chmod 700 file.txt

在此示例中，权限设置如下：

• 所有者：读（7）、写（7）、执行（7）
• 组：无读权限（0）、无写权限（0）、无执行权限（0）
• 其他用户：无读权限（0）、无写权限（0）、无执行权限（0）

使用粘贴位

“粘贴位”是一种可以在目录上设置的特殊权限标志。当设置了粘贴位时，即使用户具有写权限，也会阻止他们删除或重命名目录中的文件。这对于共享目录特别有用，你可以在其中确保用户只能修改自己的文件。

## 在目录上设置粘贴位
chmod +t /shared/directory

应用访问控制列表（ACL）

访问控制列表（ACL）提供了一种更精细的方式来管理文件和目录权限。ACL 允许你为单个用户或组分配特定的权限，超越基本的所有者、组和其他用户权限。

## 设置 ACL 以允许特定用户进行读访问
setfacl -m u:username:r file.txt

通过理解和应用这些技术，你可以有效地限制组和其他用户对文件的访问，确保敏感数据具有适当的安全级别和隐私保护。

在实际中应用文件访问控制

既然你已经对 Linux 文件权限以及限制组和其他用户访问的技术有了扎实的理解，那么让我们来探讨一些实际场景和示例。

保护敏感文件

假设你有一个包含敏感信息的文件，比如带有数据库凭证的配置文件或私钥。你希望确保只有文件所有者能够访问和修改其中的内容。

## 保护敏感文件
chmod 600 sensitive_file.txt

在此示例中，权限设置如下：

• 所有者：读（6）、写（6）、无执行权限（0）
• 组：无读权限（0）、无写权限（0）、无执行权限（0）
• 其他用户：无读权限（0）、无写权限（0）、无执行权限（0）

保护共享目录

在协作环境中工作时，你可能会有一个共享目录，多个用户需要在其中访问和修改文件。为确保用户只能访问和修改自己的文件，你可以使用粘贴位和 ACL。

## 创建带有粘贴位的共享目录
mkdir /shared/directory
chmod +t /shared/directory

## 允许特定用户在共享目录中读写文件
setfacl -m u:username:rwx /shared/directory

审核文件权限

定期审查和审计文件权限对于维持所需的安全级别至关重要。你可以使用 ls -l 命令列出文件和目录的权限，并使用 getfacl 命令查看应用于文件或目录的 ACL。

## 列出文件权限
ls -l file.txt

## 查看文件的 ACL
getfacl file.txt

通过应用这些实用技术，你可以在 Linux 环境中有效地控制和管理文件访问，确保敏感数据具有适当的安全级别和隐私保护。

总结

在本教程结束时，你将全面理解 Linux 文件权限，并能够有效地阻止组和其他用户访问你的敏感文件。这些知识将帮助你维护系统的完整性，保护你的重要信息，使你的 Linux 环境更加安全可靠。