【Linux】Linux入门——权限

2.Linux基本权限

shell命令以及运行原理

• Linux严格意义上说的是一个操作系统，我们称之为“核心（kernel）“ ，但我们一般用户，不能直接使用kernel。而是通过kernel的“外壳”程序，也就是所谓的shell，来与kernel沟通。如何理解？为什么不能直接使用kernel？
• 从技术角度，Shell的最简单定义：命令行解释器（command Interpreter）主要包含：将使用者的命令翻译给核心（kernel）处理。同时，将核心的处理结果翻译给使用者。
• 对比windows GUI，我们操作windows 不是直接操作windows内核，而是通过图形接口，点击，从而完成我们的操作（比如进入D盘的操作，我们通常是双击D盘盘符.或者运行起来一个应用程序）。
• shell 对于Linux，有相同的作用，主要是对我们的指令进行解析，解析指令给Linux内核。反馈结果在通过内核运行出结果，通过shell解析给用户。

我们平常说的是广义上的Linux系统，包括Linux内核+shell外壳

Linux权限的概念

Linux下有两种用户：超级用户（root）、普通用户。

• 超级用户：可以再linux系统下做任何事情，不受限制

• 普通用户：在linux下做有限的事情。

超级用户的命令提示符是“#”，普通用户的命令提示符是“$”。

su 命令

• 使用：su [用户名]

• 功能：切换用户。

例如，要从root用户切换到普通用户user，则使用 su user。 要从普通用户user切换到root用户则使用 su root（root可以省略），此时系统会提示输入root用户的口令，但如果想用从普通用户变成超级用户需要输入超级用户的密码，但超级用户变成普通用户不需要额外输入密码。

[root@hcss-ecs-b735 ~]# whoami
root
[root@hcss-ecs-b735 ~]# su lisihan
[lisihan@hcss-ecs-b735 root]$ whoami
lisihan

sudo命令

如果你是普通用户，在执行某一条命令的时候可以在前面加上sudo命令越级执行，就是以root的身份执行，但需要把普通用户加入到一个配置文件中

[user@hcss-ecs-b735 dir]$ whoami
user
You have mail in /var/spool/mail/root
[user@hcss-ecs-b735 dir]$ sudo touch file.txtWe trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:#1) Respect the privacy of others.#2) Think before you type.#3) With great power comes great responsibility.[sudo] password for user: 

Linux权限管理

01.文件访问者的分类（人）

文件和文件目录的所有者：u—User（中国平民 法律问题）

文件和文件目录的所有者所在的组的用户：g—Group（不多说）

其它用户：o—Others （外国人）

02.文件类型和访问权限（事物属性）

当我们使用ll命令列出当前文件夹下的所有文件的详细信息的时候，会发现每一个文件或文件夹的名字前面都有一串字符。

[root@hcss-ecs-b735 lession5]# ll
total 1188
drwxr-xr-x 2 root root    4096 May  5 14:09 dir2
-rw-r--r-- 1 root root      72 May  5 14:09 hello.c
-rw-r--r-- 1 root root 1188895 May  5 14:09 log.txt
-rwxr-xr-x 1 root root    8360 May  5 14:09 myhello
-rw-r--r-- 1 root root       0 May  5 14:09 newtext.txt
-rw-r--r-- 1 root root      12 May  5 14:09 test.txt
-rw-r--r-- 1 root root       0 May  5 14:09 world.c

文件类型

d：文件夹
-：普通文件
l：软链接（类似Windows的快捷方式）
b：块设备文件（例如硬盘、光驱等）
p：管道文件
c：字符设备文件（例如屏幕等串口设备）s：套接口文件

基本权限

• 读（r/4）：Read对文件而言，具有读取文件内容的权限；对目录来说，具有浏览该目录信息的权限
• 写（w/2）：Write对文件而言，具有修改文件内容的权限；对目录来说具有删除移动目录内文件的权限
• 执行（x/1）：execute对文件而言，具有执行文件的权限；对目录来说，具有进入目录的权限
• “-”表示不具有该项权限

补充——权限操作

• 不可以越权操作：

[lisihan@hcss-ecs-b735 ~]$ cd /root
bash: cd: /root: Permission denied #表示没有这个权限

• 权限 = 角色 + 文件权限属性

03.文件权限值的表示方法

字符表示方法

8进制数值表示方法

04.文件访问权限的相关设置方法

chmod命令

功能：设置文件的访问权限
格式：chmod [参数] 权限 文件名

• 常用选项：

  R -> 递归修改目录文件的权限
  说明：只有文件的拥有者和root才可以改变文件的权限

chmod
① 用户表示符+/-=权限字符

+ :向权限范围增加权限代号所表示的权限

- :向权限范围取消权限代号所表示的权限

= :向权限范围赋予权限代号所表示的权限

用户符号：
u：拥有者
g：拥有者同组用
o：其它用户
a：所有用户

[root@hcss-ecs-b735 lession5]# ll test.txt 
-r--r--r-- 1 root root 12 May  5 14:09 test.txt
[root@hcss-ecs-b735 lession5]# chmod u+wx test.txt 
[root@hcss-ecs-b735 lession5]# ll test.txt 
-rwxr--r-- 1 root root 12 May  5 14:09 test.txt
[root@hcss-ecs-b735 lession5]# chmod u+wx,g+rwx,o+wx test.txt 
[root@hcss-ecs-b735 lession5]# ll test.txt 
-rwxrwxrwx 1 root root 12 May  5 14:09 test.txt
[root@hcss-ecs-b735 lession5]# 

• 操作多组用户需要用,隔开
• 如果某权限已经操作过，再次操作不会变化

②三位8进制数字

前面有8进制的表示方法

[root@hcss-ecs-b735 lession5]# ll test.txt 
-rwxrwxrwx 1 root root 12 May  5 14:09 test.txt
[root@hcss-ecs-b735 lession5]# chmod 000 test.txt 
[root@hcss-ecs-b735 lession5]# ll test.txt 
---------- 1 root root 12 May  5 14:09 test.txt
[root@hcss-ecs-b735 lession5]# chmod 437 test.txt 
[root@hcss-ecs-b735 lession5]# ll test.txt 
-r---wxrwx 1 root root 12 May  5 14:09 test.txt

注意

我们虽然可以对自己的文件添加可执行权限，但是一个文件是否能被执行，与一个用户对这个文件是否有可执行权限是两个意思。只有当这个文件本身可以被执行并且你有这个文件的执行权限你才能执行这个文件

如果文件所有者没有这个文件的权限，但是他所在的组有这个文件的权限，此时所有者仍然没有这个的权限，因为在文件操作前系统对用户权限的检测只有一次从user到group再到other，用户如果是user，就不会到下一个组去检查权限了

这些权限管理对root无效

chown命令

• 功能：修改文件的拥有者
• 格式：chown [参数] 用户名 文件名

chgrp命令

• 功能：修改文件或目录的所属组
• 格式：chgrp [参数] 用户组名 文件名
• 常用选项：-R 递归修改文件或目录的所属组实例：

注意

这两个命令在root身份下不需要文件原所有者或所有组的允许可以直接修改文件的拥有者和所属组

但是即便你是这个文件的所有者或所属组，你不能把你自己的文件直接给别人

[root@hcss-ecs-b735 dir2]# ll
total 1164
-rw-r--r-- 1 root root 1188895 May  5 16:06 log.txt
[root@hcss-ecs-b735 dir2]# chown user log.txt 
[root@hcss-ecs-b735 dir2]# ll
total 1164
-rw-r--r-- 1 user root 1188895 May  5 16:06 log.txt
[root@hcss-ecs-b735 dir2]# chgrp user log.txt 
[root@hcss-ecs-b735 dir2]# ll
total 1164
-rw-r--r-- 1 user user 1188

05目录的权限

目录的权限与普通文件的权限有很大的差别

• 可执行权限: 如果目录没有可执行权限, 则无法cd到目录中

• 可读权限: 如果目录没有可读权限, 则无法用ls等命令查看目录中的文件内容.

• 可写权限: 如果目录没有可写权限, 则无法在目录中创建文件, 也无法在目录中删除文件或者重命名文件.

当我们创建一个目录或文件夹的时候会有一个默认权限。其中目录的起始权限是777，普通文件的起始权限是666。但文件的最终权限通常不是起始权限。

最终权限=起始权限 & （~权限掩码）注意这个最终权限仍然指的是文件刚被创建时的权限

umask指令

• 功能：查看或修改文件掩码
  新建文件夹默认权限=0666新建目录默认权限=0777
  但实际上你所创建的文件和目录，看到的权限往往不是上面这个值。原因就是创建文件或目录的时候还要受到umask的影响。假设默认权限是mask，则实际创建的出来的文件权限是: mask & ~umask
• 格式：umask 权限值
• 说明：将现有的存取权限减去权限掩码后，即可产生建立文件时预设权限。超级用户默认掩码值为0022，普通用户默认为0002。

我们还需要注意一点：一个文件中的内容能否被增删查改，取决于这个文件的权限，但对这个文件的删除等操作取决于这个文件在哪个目录中，这个目录的权限。

举个例子，如果某个用户的一个文件目录（这个用户有这个文件夹的写权限）中有其他用户的文件（即使是root的），他仍然可以删除这个文件

[user@hcss-ecs-b735 dir]$ whoami
user
[user@hcss-ecs-b735 dir]$ ll -d .
drwxrwxr-x 2 user user 4096 May  5 19:00 .
[user@hcss-ecs-b735 dir]$ ll
total 0
-rw-rw-r-- 1 root root 0 May  5 19:00 root_file.txt
[user@hcss-ecs-b735 dir]$ rm -rf root_file.txt 
[user@hcss-ecs-b735 dir]$ ll
total 0

注意：家目录中其他用户的家目录的文件权限都是700

file指令

• 功能说明：辨识文件类型。
• 语法：file [选项] 文件或目录…
• 常用选项：
  • -c 详细显示指令执行过程，便于排错或分析程序执行的情形。
  • -z 尝试去解读压缩文件的内容。

使用 sudo分配权限

修改/etc/sudoers 文件分配文件

格式：接受权限的用户登陆的主机 =（执行命令的用户） 命令（2）使用 sudo 调用授权的命令

粘滞位

为防止其他人将自己的文件删除自己的文件，我们引入一个粘滞位的概念

当一个目录被设置为"粘滞位"(用chmod +t),则该目录下的文件只能由

一、超级管理员删除
二、该目录的所有者删除
三、该文件的所有者删除

也就是说，设置粘滞位的文件只能被文件所有者以及root删除

[root@hcss-ecs-b735 dir2]# ll
total 1164
-rw-r--r-- 1 lisihan lisihan 1188895 May  5 16:06 log.txt
[root@hcss-ecs-b735 dir2]# chmod o+t log.txt 
[root@hcss-ecs-b735 dir2]# ll
total 1164
-rw-r--r-T 1 lisihan lisihan 1188895 May  5 16:06 log.txt
[root@hcss-ecs-b735 dir2]#