5.2 Linux 文件权限概念

[dmtsai@study ~]$ su -  # 先来切换一下身份看看
Password:
Last login: Tue Jun  2 19:32:31 CST 2015 on tty2
[root@study ~]# ls -al
total 48
dr-xr-x---.  5    root     root    4096  May 29 16:08 .
dr-xr-xr-x. 17    root     root    4096  May  4 17:56 ..
-rw-------.  1    root     root    1816  May  4 17:57 anaconda-ks.cfg
-rw-------.  1    root     root     927  Jun  2 11:27 .bash_history
-rw-r--r--.  1    root     root      18  Dec 29  2013 .bash_logout
-rw-r--r--.  1    root     root     176  Dec 29  2013 .bash_profile
-rw-r--r--.  1    root     root     176  Dec 29  2013 .bashrc
drwxr-xr-x.  3    root     root      17  May  6 00:14 .config               <=范例说明处
drwx------.  3    root     root      24  May  4 17:59 .dbus
-rw-r--r--.  1    root     root    1864  May  4 18:01 initial-setup-ks.cfg  <=范例说明处
[    1    ][  2 ][   3  ][  4 ][    5   ][    6     ] [       7          ]
[  权限   ][链接][拥有者][群组][文件大小][ 修改日期 ] [      文件名        ]

• 第一栏代表这个文件的类型与权限（permission）： 这个地方最需要注意了！仔细看的话，你应该可以发现这一栏其实共有十个字符：（图5.2.1及图5.2.2内的权限并无关系） 图5.2.2、文件的类型与权限之内容
• 第一个字符代表这个文件是“目录、文件或链接文件等等”：
  • 当为[ d ]则是目录，例如上表文件名为“.config”的那一行；
  • 当为[ - ]则是文件，例如上表文件名为“initial-setup-ks.cfg”那一行；
  • 若是[ l ]则表示为链接文件（link file）；
  • 若是[ b ]则表示为设备文件里面的可供储存的周边设备（可随机存取设备）；
  • 若是[ c ]则表示为设备文件里面的序列埠设备，例如键盘、鼠标（一次性读取设备）。
• 接下来的字符中，以三个为一组，且均为“rwx” 的三个参数的组合。其中，[ r ]代表可读（read）、[ w ]代表可写（write）、[ x ]代表可执行（execute）。 要注意的是，这三个权限的位置不会改变，如果没有权限，就会出现减号[ - ]而已。
  • 第一组为“文件拥有者可具备的权限”，以“initial-setup-ks.cfg”那个文件为例， 该文件的拥有者可以读写，但不可执行；
  • 第二组为“加入此群组之帐号的权限”；
  • 第三组为“非本人且没有加入本群组之其他帐号的权限”。

• 第二栏表示有多少文件名链接到此节点（i-node）： 每个文件都会将他的权限与属性记录到文件系统的i-node中，不过，我们使用的目录树却是使用文件名来记录， 因此每个文件名就会链接到一个i-node啰！这个属性记录的，就是有多少不同的文件名链接到相同的一个i-node号码去就是了。 关于i-node的相关数据我们会在 第七章、Linux 磁盘与文件系统管理 谈到文件系统时再加强介绍的。
• 第三栏表示这个文件（或目录）的“拥有者帐号”
• 第四栏表示这个文件的所属群组

• 第五栏为这个文件的容量大小，默认单位为Bytes；
• 第六栏为这个文件的创建日期或者是最近的修改日期：

[root@study ~]# ll /etc/services /root/initial-setup-ks.cfg
-rw-r--r--. 1 root root 670293 Jun  7  2013 /etc/services
-rw-r--r--. 1 root root   1864 May  4 18:01 /root/initial-setup-ks.cfg
# 如上所示，/etc/services 为 2013 年所修改过的文件，离现在太远之故，所以只显示年份；
# 至于 /root/initial-setup-ks.cfg 是今年 （2015） 所创建的，所以就显示完整的时间了。

• 第七栏为这个文件的文件名 这个字段就是文件名了。比较特殊的是：如果文件名之前多一个“ . ”，则代表这个文件为“隐藏文件”，例如上表中的.config那一行，该文件就是隐藏文件。 你可以使用“ls”及“ls -a”这两个指令去感受一下什么是隐藏文件啰！

-rw-r--r--  1 root     root          238 Jun 18 17:22 test.txt
-rwxr-xr--  1 test1    testgroup    5238 Jun 19 10:25 ping_tsai

• 文件test.txt的拥有者为root，所属群组为root。至于权限方面则只有root这个帐号可以存取此文件，其他人则仅能读此文件；
• 另一个文件ping_tsai的拥有者为test1，而所属群组为testgroup。其中：
  • test1 可以针对此文件具有可读可写可执行的权力；
  • 而同群组的test2, test3两个人与test1同样是testgroup的群组帐号，则仅可读可执行但不能写（亦即不能修改）；
  • 至于没有加入testgroup这一个群组的其他人则仅可以读，不能写也不能执行！ 例题：承上一题如果我的目录为下面的样式，请问testgroup这个群组的成员与其他人（others）是否可以进入本目录？

 drwxr-xr--   1 test1    testgroup    5238 Jun 19 10:25 groups/

• 文件拥有者test1[rwx]可以在本目录中进行任何工作；
• 而testgroup这个群组[r-x]的帐号，例如test2, test3亦可以进入本目录进行工作，但是不能在本目录下进行写入的动作；
• 至于other的权限中[r—]虽然有r ，但是由于没有x的权限，因此others的使用者，并不能进入此目录！
• Linux文件权限的重要性： 与Windows系统不一样的是，在Linux系统当中，每一个文件都多加了很多的属性进来，尤其是群组的概念，这样有什么用途呢？ 其实，最大的用途是在“数据安全性”上面的。
• 系统保护的功能：举个简单的例子，在你的系统中，关于系统服务的文件通常只有root才能读写或者是执行，例如/etc/shadow这一个帐号管理的文件，由于该文件记录了你系统中所有帐号的数据， 因此是很重要的一个配置文件，当然不能让任何人读取（否则密码会被窃取啊），只有root才能够来读取啰！所以该文件的权限就会成为[ ————— ]啰！咦！所有人都不能使用？没关系，root基本上是不受系统的权限所限制的， 所以无论文件权限为何，默认root都可以存取喔！
• 团队开发软件或数据共享的功能：此外，如果你有一个软件开发团队，在你的团队中，你希望每个人都可以使用某一些目录下的文件， 而非你的团队的其他人则不予以开放呢？以上面的例子来说，testgroup的团队共有三个人，分别是test1, test2, test3，那么我就可以将团队所需的文件权限订为[ -rwxrws—- ]来提供给testgroup的工作团队使用啰！（怎么会有 s 呢？没关系，这个我们在后续章节再讲给你听！）
• 未将权限设置妥当的危害：再举个例子来说，如果你的目录权限没有作好的话，可能造成其他人都可以在你的系统上面乱搞啰！ 例如本来只有root才能做的开关机、ADSL的拨接程序、新增或删除使用者等等的指令，若被你改成任何人都可以执行的话， 那么如果使用者不小心给你重新开机啦！重新拨接啦！等等的！那么你的系统不就会常常莫名其妙的挂掉啰！ 而且万一你的使用者的密码被其他不明人士取得的话，只要他登陆你的系统就可以轻而易举的执行一些root的工作！

• chgrp ：改变文件所属群组
• chown ：改变文件拥有者
• chmod ：改变文件的权限, SUID, SGID, SBIT等等的特性
• 改变所属群组, chgrp

[root@study ~]# chgrp [-R] dirname/filename ...
选项与参数：
-R : 进行递回（recursive）的持续变更，亦即连同次目录下的所有文件、目录
     都更新成为这个群组之意。常常用在变更某一目录内所有的文件之情况。
范例：
[root@study ~]# chgrp users initial-setup-ks.cfg
[root@study ~]# ls -l
-rw-r--r--. 1 root users 1864 May  4 18:01 initial-setup-ks.cfg
[root@study ~]# chgrp testing initial-setup-ks.cfg
chgrp: invalid group:  `testing' <== 发生错误讯息啰～找不到这个群组名～

• 改变文件拥有者, chown 如何改变一个文件的拥有者呢？很简单呀！既然改变群组是change group，那么改变拥有者就是change owner啰！BINGO！那就是chown这个指令的用途，要注意的是， 使用者必须是已经存在系统中的帐号，也就是在/etc/passwd 这个文件中有纪录的使用者名称才能改变。

[root@study ~]# chown [-R] 帐号名称 文件或目录
[root@study ~]# chown [-R] 帐号名称:群组名称 文件或目录
选项与参数：
-R : 进行递回（recursive）的持续变更，亦即连同次目录下的所有文件都变更
范例：将 initial-setup-ks.cfg 的拥有者改为bin这个帐号：
[root@study ~]# chown bin initial-setup-ks.cfg
[root@study ~]# ls -l
-rw-r--r--. 1 bin  users 1864 May  4 18:01 initial-setup-ks.cfg
范例：将 initial-setup-ks.cfg 的拥有者与群组改回为root：
[root@study ~]# chown root:root initial-setup-ks.cfg
[root@study ~]# ls -l
-rw-r--r--. 1 root root 1864 May  4 18:01 initial-setup-ks.cfg

[root@study ~]# cp 来源文件 目的文件

[root@study ~]# cp .bashrc .bashrc_test
[root@study ~]# ls -al .bashrc*
-rw-r--r--. 1 root root 176 Dec 29  2013 .bashrc
-rw-r--r--. 1 root root 176 Jun  3 00:04 .bashrc_test   <==新文件的属性没变

• 改变权限, chmod 文件权限的改变使用的是chmod这个指令，但是，权限的设置方法有两种， 分别可以使用数字或者是符号来进行权限的变更。我们就来谈一谈：
• 数字类型改变文件权限

r:4> w:2> x:1

owner = rwx = 4+2+1 = 7> group = rwx = 4+2+1 = 7> others= —- = 0+0+0 = 0

• xyz : 就是刚刚提到的数字类型的权限属性，为 rwx 属性数值的相加。
• -R : 进行递回（recursive）的持续变更，亦即连同次目录下的所有文件都会变更

[root@study ~]# ls -al .bashrc
-rw-r—r—. 1 root root 176 Dec 29 2013 .bashrc
[root@study ~]# chmod 777 .bashrc
[root@study ~]# ls -al .bashrc
-rwxrwxrwx. 1 root root 176 Dec 29 2013 .bashrc

• 符号类型改变文件权限

• user （u）：具有可读、可写、可执行的权限；
• group 与 others （g/o）：具有可读与执行的权限。所以就是：

  [root@study ~]# chmod u=rwx,go=rx .bashrc# 注意喔！那个 u=rwx,go=rx 是连在一起的，中间并没有任何空白字符！
  [root@study ~]# ls -al .bashrc
  - rwxr-xr-x. 1 root root 176 Dec 29 2013 .bashrc
  

[root@study ~]# ls -al .bashrc
-rwxr-xr-x. 1 root root 176 Dec 29 2013 .bashrc
[root@study ~]# chmod a+w .bashrc
[root@study ~]# ls -al .bashrc
-rwxrwxrwx. 1 root root 176 Dec 29 2013 .bashrc

[root@study ~]# chmod a-x .bashrc
[root@study ~]# ls -al .bashrc
-rw-rw-rw-. 1 root root 176 Dec 29 2013 .bashrc
[root@study ~]# chmod 644 .bashrc # 测试完毕得要改回来喔！

• 权限对文件的重要性 文件是实际含有数据的地方，包括一般文本文件、数据库内容档、二进制可可执行文件（binary program）等等。 因此，权限对于文件来说，他的意义是这样的：
• r （read）：可读取此一文件的实际内容，如读取文本文件的文字内容等；
• w （write）：可以编辑、新增或者是修改该文件的内容（但不含删除该文件）；
• x （eXecute）：该文件具有可以被系统执行的权限。 那个可读（r）代表读取文件内容是还好了解，那么可执行（x）呢？这里你就必须要小心啦！ 因为在Windows下面一个文件是否具有执行的能力是借由“ 扩展名 ”来判断的， 例如：.exe, .bat, .com 等等，但是在Linux下面，我们的文件是否能被执行，则是借由是否具有“x”这个权限来决定的！跟文件名是没有绝对的关系的！

• 权限对目录的重要性 文件是存放实际数据的所在，那么目录主要是储存啥玩意啊？目录主要的内容在记录文件名清单，文件名与目录有强烈的关连啦！ 所以如果是针对目录时，那个 r, w, x 对目录是什么意义呢？
• r （read contents in directory）：

• w （modify contents of directory）：

• 创建新的文件与目录；
• 删除已经存在的文件与目录（不论该文件的权限为何！）
• 将已存在的文件或目录进行更名；
• 搬移该目录内的文件、目录位置。总之，目录的w权限就与该目录下面的文件名异动有关就对了啦！
  • x （access directory）：

• 先用root的身份创建所需要的文件与目录环境 我们用root的身份在所有人都可以工作的/tmp目录中创建一个名为testing的目录， 该目录的权限为744且目录拥有者为root。另外，在testing目录下在创建一个空的文件， 文件名亦为testing。创建目录可用mkdir（make directory），创建空文件可用touch（下一章会说明）来处理。 所以过程如下所示：

  [root@study ~]# cd /tmp <==切换工作目录到/tmp
  [root@study tmp]# mkdir testing <==创建新目录
  [root@study tmp]# chmod 744 testing <==变更权限
  [root@study tmp]# touch testing/testing <==创建空的文件
  [root@study tmp]# chmod 600 testing/testing <==变更权限
  [root@study tmp]# ls -ald testing testing/testing
  drwxr--r--. 2 root root 20 Jun  3 01:00 testing
  - rw-------. 1 root root  0 Jun  3 01:00 testing/testing
  # 仔细看一下，目录的权限是 744 ，且所属群组与使用者均是 root 喔！
  # 那么在这样的情况下面，一般身份使用者对这个目录/文件的权限为何？
  

• 一般用户的读写权限为何？观察中 在上面的例子中，虽然目录是744的权限设置，一般用户应该能有 r 的权限， 但这样的权限使用者能做啥事呢？由于鸟哥的系统中含有一个帐号名为 dmtsai 的，请再开另外一个终端机，使用 dmtsai 登陆来操作下面的任务！

  [dmtsai@study ~]$ cd /tmp
  [dmtsai@study tmp]$ ls -l testing/
  ls: cannot access testing/testing: Permission denied
  total 0
  ?????????? ? ? ? ?            ? testing
  # 虽然有告知权限不足，但因为具有 r 的权限可以查询文件名。由于权限不足（没有x），所以会有一堆问号。
  [dmtsai@study tmp]$ cd testing/
  - bash: cd: testing/: Permission denied
  # 因为不具有 x ，所以当然没有进入的权限啦！有没有呼应前面的权限说明啊！
  

• 如果该目录属于用户本身，会有什么状况？ 上面的练习我们知道了只有r确实可以让使用者读取目录的文件名列表，不过详细的信息却还是读不到的， 同时也不能将该目录变成工作目录（用 cd 进入该目录之意）。那如果我们让该目录变成使用者的， 那么使用者在这个目录下面是否能够删除文件呢？下面的练习做看看：

  # 1\. 先用 root 的身份来搞定 /tmp/testing 的属性、权限设置：
  [root@study tmp]# chown dmtsai /tmp/testing
  [root@study tmp]# ls -ld /tmp/testing
  drwxr--r--. 2 dmtsai root 20  6月  3 01:00 /tmp/testing  # dmtsai 是具有全部权限的！
  # 2\. 再用 dmtsai 的帐号来处理一下 /tmp/testing/testing 这个文件看看：
  [dmtsai@study tmp]$ cd /tmp/testing
  [dmtsai@study testing]$ ls -l  <==确实是可以进入目录
  - rw-------. 1 root root 0 Jun  3 01:00 testing  <==文件不是vbird的！
  [dmtsai@study testing]$ rm testing     <==尝试杀掉这个文件看看！
  rm: remove write-protected regular empty file `testing'? y
  # 竟然可以删除！这样理解了吗？！
  

  通过上面这个简单的步骤，你就可以清楚的知道， x 在目录当中是与“能否进入该目录”有关， 至于那个 w 则具有相当重要的权限，因为他可以让使用者删除、更新、新建文件或目录， 是个很重要的参数啊！这样可以理解了吗？！ ^_^！
• 使用者操作功能与权限 刚刚讲这样如果你还是搞不懂～没关系，我们来处理个特殊的案例！假设两个文件名，分别是下面这样：
• /dir1/file1
• /dir2 假设你现在在系统使用 dmtsai 这个帐号，那么这个帐号针对 /dir1, /dir1/file1, /dir2 这三个文件名来说，分别需要“哪些最小的权限”才能达成各项任务？ 鸟哥汇整如下，如果你看得懂，恭喜你，如果你看不懂～没关系～未来再来继续学！

• 文件种类： 我们在刚刚提到使用“ls -l”观察到第一栏那十个字符中，第一个字符为文件的类型。 除了常见的一般文件（-）与目录文件（d）之外，还有哪些种类的文件类型呢？
• 正规文件（regular file ）：就是一般我们在进行存取的类型的文件，在由 ls -al 所显示出来的属性方面，第一个字符为 [ - ]，例如 [-rwxrwxrwx ]。另外，依照文件的内容，又大略可以分为：
  • 纯文本文件（ASCII）：这是Linux系统中最多的一种文件类型啰， 称为纯文本文件是因为内容为我们人类可以直接读到的数据，例如数字、字母等等。 几乎只要我们可以用来做为设置的文件都属于这一种文件类型。 举例来说，你可以下达“ cat ~/.bashrc ”就可以看到该文件的内容。 （cat 是将一个文件内容读出来的指令）
  • 二进制档（binary）：还记得我们在“ 第零章、计算机概论 ”里面的软件程序的运行中提过， 我们的系统其实仅认识且可以执行二进制文件（binary file）吧？没错～ 你的Linux当中的可可执行文件（scripts, 文字体批处理文件不算）就是这种格式的啦～ 举例来说，刚刚下达的指令cat就是一个binary file。
  • 数据格式文件（data）： 有些程序在运行的过程当中会读取某些特定格式的文件，那些特定格式的文件可以被称为数据文件 （data file）。举例来说，我们的Linux在使用者登陆时，都会将登录的数据记录在 /var/log/wtmp那个文件内，该文件是一个data file，他能够通过last这个指令读出来！ 但是使用cat时，会读出乱码～因为他是属于一种特殊格式的文件。瞭乎？
• 目录（directory）：就是目录啰～第一个属性为 [ d ]，例如 [drwxrwxrwx]。
• 链接文件（link）：就是类似Windows系统下面的捷径啦！ 第一个属性为 [ l ]（英文L的小写），例如 [lrwxrwxrwx] ；
• 设备与设备文件（device）：与系统周边及储存等相关的一些文件， 通常都集中在/dev这个目录之下！通常又分为两种：
  • 区块（block）设备文件 ：就是一些储存数据， 以提供系统随机存取的周边设备，举例来说，硬盘与软盘等就是啦！ 你可以随机的在硬盘的不同区块读写，这种设备就是区块设备啰！你可以自行查一下/dev/sda看看， 会发现第一个属性为[ b ]喔！
  • 字符（character）设备文件：亦即是一些序列埠的周边设备， 例如键盘、鼠标等等！这些设备的特色就是“一次性读取”的，不能够截断输出。 举例来说，你不可能让鼠标“跳到”另一个画面，而是“连续性滑动”到另一个地方啊！第一个属性为 [ c ]。
• 数据接口文件（sockets）：既然被称为数据接口文件， 想当然尔，这种类型的文件通常被用在网络上的数据承接了。我们可以启动一个程序来监听用户端的要求， 而用户端就可以通过这个socket来进行数据的沟通了。第一个属性为 [ s ]， 最常在/run或/tmp这些个目录中看到这种文件类型了。
• 数据输送档（FIFO, pipe）：FIFO也是一种特殊的文件类型，他主要的目的在解决多个程序同时存取一个文件所造成的错误问题。 FIFO是first-in-first-out的缩写。第一个属性为[p] 。

• Linux文件扩展名： 基本上，Linux的文件是没有所谓的“扩展名”的，我们刚刚就谈过，一个Linux文件能不能被执行，与他的第一栏的十个属性有关， 与文件名根本一点关系也没有。这个观念跟Windows的情况不相同喔！在Windows下面， 能被执行的文件扩展名通常是 .com .exe .bat等等，而在Linux下面，只要你的权限当中具有x的话，例如[ -rwxr-xr-x ] 即代表这个文件具有可以被执行的能力喔！

• *.sh ： 脚本或批处理文件 （scripts），因为批处理文件为使用shell写成的，所以扩展名就编成 .sh 啰；
• *Z, * .tar, *.tar.gz, * .zip, *.tgz： 经过打包的压缩文件。这是因为压缩软件分别为 gunzip, tar 等等的，由于不同的压缩软件，而取其相关的扩展名啰！
• *.html, * .php：网页相关文件，分别代表 HTML 语法与 PHP 语法的网页文件啰！ .html 的文件可使用网页浏览器来直接打开，至于 .php 的文件， 则可以通过 client 端的浏览器来 server 端浏览，以得到运算后的网页结果呢！

• Linux文件长度限制[1]： 在Linux下面，使用传统的Ext2/Ext3/Ext4文件系统以及近来被 CentOS 7 当作默认文件系统的 xfs 而言，针对文件的文件名长度限制为：
• 单一文件或目录的最大容许文件名为 255Bytes，以一个 ASCII 英文占用一个 Bytes 来说，则大约可达 255 个字符长度。若是以每个中文字占用 2Bytes 来说， 最大文件名就是大约在 128 个中文字之谱！ 是相当长的文件名喔！我们希望Linux的文件名称可以一看就知道该文件在干嘛的， 所以文件名通常是很长很长！而用惯了Windows的人可能会受不了，因为文件名称通常真的都很长， 对于用惯Windows而导致打字速度不快的朋友来说，嗯！真的是很困扰…..不过，只得劝你好好的加强打字的训练啰！
• Linux文件名称的限制： 由于Linux在命令行下的一些指令操作关系，一般来说，你在设置Linux下面的文件名称时， 最好可以避免一些特殊字符比较好！例如下面这些：- ? > < ; & ! [ ] | \ ' " （ ） { }