Linux权限
开启两个窗口 一个root用户 一个普通用户
root用户用于更改权限，普通用户用于测试
对于文件rwx权限
创建环境
[root@nfsnobody ~]# mkdir -p /nfsnobody
[root@nfsnobody ~]# echo 'hostname' >/nfsnobody/test.sh
[root@nfsnobody ~]# cat /nfsnobody/test.sh
hostname
r权限测试
root下修改权限 让用户只有r权限
[root@nfsnobody nfsnobody]# chmod u=r test.sh 更改权限 u=r 只有r权限
[root@nfsnobody nfsnobody]# ll 检查
total 24
-r--r--r-- 1 nfsnobody nfsnobody 9 Aug 6 16:22 test.sh
nfsnobody用户测试
[nfsnobody@nfsnobody nfsnobody]$ ll nfsnobody用户下检查
total 24
-r--r--r-- 1 nfsnobody nfsnobody 9 Aug 6 16:22 test.sh
[nfsnobody@nfsnobody nfsnobody]$ cat test.sh 可以读取
hostname
[nfsnobody@nfsnobody nfsnobody]$ echo 'nfsnobody' >> test.sh 不能写入
-bash: test.sh: Permission denied
[nfsnobody@nfsnobody nfsnobody]$ /nfsnobody/test.sh 不能执行
-bash: /nfsnobody/test.sh: Permission denied
w权限测试
root下修改权限 让用户只有w权限
[root@nfsnobody nfsnobody]# chmod u=w test.sh 超级用户下修改权限
[root@nfsnobody nfsnobody]# ll
total 24
--w-r--r-- 1 nfsnobody nfsnobody 9 Aug 6 16:22 test.sh 检查 只有w权限
nfsnobody用户下
[nfsnobody@nfsnobody nfsnobody]$ ll
total 24
--w-r--r-- 1 nfsnobody nfsnobody 9 Aug 6 16:22 test.sh
[nfsnobody@nfsnobody nfsnobody]$ cat test.sh 无法读取
cat: test.sh: Permission denied
[nfsnobody@nfsnobody nfsnobody]$ echo 'pwd' >> test.sh 可以写入
[nfsnobody@nfsnobody nfsnobody]$ /nfsnobody/test.sh 无法执行
-bash: /nfsnobody/test.sh: Permission denied
只有w权限的时候 vim强制保存退出会导致源文件内容丢失
x权限测试
root下修改权限 让用户只有x权限
[root@nfsnobody nfsnobody]# chmod u=x test.sh root下修改
[root@nfsnobody nfsnobody]# ll
total 24
---xr--r-- 1 nfsnobody nfsnobody 13 Aug 6 16:34 test.sh 只有x权限
nfsnobody用户下测试
[nfsnobody@nfsnobody nfsnobody]$ ll 先检查
total 24
---xr--r-- 1 nfsnobody nfsnobody 13 Aug 6 16:34 test.sh
[nfsnobody@nfsnobody nfsnobody]$ cat test.sh 无法查看
cat: test.sh: Permission denied
[nfsnobody@nfsnobody nfsnobody]$ echo 'pwd' >> test.sh 无法写入
-bash: test.sh: Permission denied
[nfsnobody@nfsnobody nfsnobody]$ /nfsnobody/test.sh
无法执行 因为想要执行一个文件/脚本 可以执行 必须要有读取的权限 先知道内容才能执行
bash: /nfsnobody/test.sh: Permission denied
文件权限小结
r 查看/读取 文件的内容
w 修改文件的内容 需要r权限的配合
x 执行文件的权限 需要r的权限配合
只有w权限的时候 强制保存退出会导致源文件内容丢失
对于目录rwx的权限
创建环境
[root@nfsnobody nfsnobody]# mkdir -p /nfsnobody/test
[root@nfsnobody nfsnobody]# cd /nfsnobody/test
[root@nfsnobody test]# touch /nfsnobody/test/nfsnobody{01..5}.txt
[root@nfsnobody test]# tree
.
├── nfsnobody01.txt
├── nfsnobody02.txt
├── nfsnobody03.txt
├── nfsnobody04.txt
└── nfsnobody05.txt
0 directories, 5 files
r权限测试
root用户下修改权限 修改目录r权限
[root@nfsnobody nfsnobody]# chmod u=r test 修改权限
[root@nfsnobody nfsnobody]# chown nfsnobody.nfsnobody test 修改所属用户和组
[root@nfsnobody nfsnobody]# ll 检查
total 28
dr--r-xr-x 2 nfsnobody nfsnobody 4096 Aug 7 09:21 test
nfsnobody用户下测试
[nfsnobody@nfsnobody nfsnobody]$ ll 先检查
total 28
dr--r-xr-x 2 nfsnobody nfsnobody 4096 Aug 7 09:21 test
[nfsnobody@nfsnobody nfsnobody]$ ls test 可以看到文件名但是报错
ls: cannot access test/nfsnobody02.txt: Permission denied
ls: cannot access test/nfsnobody05.txt: Permission denied
ls: cannot access test/nfsnobody04.txt: Permission denied
ls: cannot access test/nfsnobody03.txt: Permission denied
ls: cannot access test/nfsnobody01.txt: Permission denied
nfsnobody01.txt nfsnobody02.txt nfsnobody03.txt nfsnobody04.txt nfsnobody05.txt
[nfsnobody@nfsnobody nfsnobody]$ ls -l test 只能看文件名 文件属性不能看
ls: cannot access test/nfsnobody02.txt: Permission denied
ls: cannot access test/nfsnobody05.txt: Permission denied
ls: cannot access test/nfsnobody04.txt: Permission denied
ls: cannot access test/nfsnobody03.txt: Permission denied
ls: cannot access test/nfsnobody01.txt: Permission denied
total 0
-????????? ? ? ? ? ? nfsnobody01.txt
-????????? ? ? ? ? ? nfsnobody02.txt
-????????? ? ? ? ? ? nfsnobody03.txt
-????????? ? ? ? ? ? nfsnobody04.txt
-????????? ? ? ? ? ? nfsnobody05.txt
r权限 加 x权限
接r权限 在r的基础上加上x
root下再给目录加上x权限
[root@nfsnobody nfsnobody]# chmod u+x test 在r的基础上加上x权限
[root@nfsnobody nfsnobody]# ll 检查
total 28
dr-xr-xr-x 2 nfsnobody nfsnobody 4096 Aug 7 09:21 test
nfsnobody用户下测试
[nfsnobody@nfsnobody nfsnobody]$ ll nfsnobody用户下检查
total 28
dr-xr-xr-x 2 nfsnobody nfsnobody 4096 Aug 7 09:21 test
[nfsnobody@nfsnobody nfsnobody]$ ls test 查看test目录的内容
nfsnobody01.txt nfsnobody02.txt nfsnobody03.txt nfsnobody04.txt nfsnobody05.txt
[nfsnobody@nfsnobody nfsnobody]$ ls -l test 可以查看 没有报错
total 0
-rw-r--r-- 1 root root 0 Aug 7 09:21 nfsnobody01.txt
-rw-r--r-- 1 root root 0 Aug 7 09:21 nfsnobody02.txt
-rw-r--r-- 1 root root 0 Aug 7 09:21 nfsnobody03.txt
-rw-r--r-- 1 root root 0 Aug 7 09:21 nfsnobody04.txt
-rw-r--r-- 1 root root 0 Aug 7 09:21 nfsnobody05.txt
w权限测试
root下给目录加上w权限
[root@nfsnobody nfsnobody]# chmod u=w test 加上w权限 只有w权限测试
[root@nfsnobody nfsnobody]# ll -ld test 检查 只有w权限
d-w-r-xr-x 2 nfsnobody nfsnobody 4096 Aug 7 09:21 test
nfsnobody用户下测试
[nfsnobody@nfsnobody nfsnobody]$ ll -ld test nfsnobody用户下检查
d-w-r-xr-x 2 nfsnobody nfsnobody 4096 Aug 7 09:21 test
[nfsnobody@nfsnobody nfsnobody]$ touch test/linux.txt 创建文件
touch: cannot touch `test/linux.txt': Permission denied 报错 无法创建
[nfsnobody@nfsnobody nfsnobody]$ ls test 无法查看
ls: cannot open directory test: Permission denied
[nfsnobody@nfsnobody nfsnobody]$ rm -f test/nfsnobody01.txt 无法删除
rm: cannot remove `test/nfsnobody01.txt': Permission denied
w权限 加 x权限
接w权限 在w的基础上加上x
root下给目录加上x权限
[root@nfsnobody nfsnobody]# chmod u+x test 给目录在w权限基础上加上x权限
[root@nfsnobody nfsnobody]# ll -ld test 检查
d-wxr-xr-x 2 nfsnobody nfsnobody 4096 Aug 7 09:21 test
nfsnobody用户下测试
[nfsnobody@nfsnobody nfsnobody]$ ll -ld test nfsnobody用户下检查
d-wxr-xr-x 2 nfsnobody nfsnobody 4096 Aug 7 09:57 test
[nfsnobody@nfsnobody nfsnobody]$ touch test/linux 创建新文件 成功
[nfsnobody@nfsnobody nfsnobody]$ ls test 无法查看
ls: cannot open directory test: Permission denied
[nfsnobody@nfsnobody nfsnobody]$ rm -f test/linux 可以删除
删除一个文件 需要看 文件所在目录的权限 是否有wx 跟文件本身的权限没有关系
目录权限小结
目录权限小结：
1. r 显示目录内容 需要x权限配合
2. w 是否能删除目录内容 在目录中创建文件 修改（重命名）
3. x 是否能进入到目录 cd （你是否能查看目录中文件的属性）
4. 删除一个文件 看文件所在目录的权限 是否有wx权限
目录的rwx权限
r 查看目录内容 ls
w 可以删除 创建 重命名 目录中的文件
x 是否能进入到目录 cd
文件访问过程与权限
相对路径访问
先通过文件名找到inode号码
再读取inode中存放的block位置信息
最后显示block内容，就是显示文件的内容。
绝对路径访问
如访问/etc下的文件：
先访问/目录
读取目录的block，找对应的文件
/etc目录的inode
读取文件的权限
找到block的位置
读取文件的内容
关系
文件的名字是存放在所在目录的block里面
文件名与inode的对应关系放在目录的block中
控制系统默认权限-umask
系统的默认权限
file---666 -rw-rw-rw 文件
dir ---777 drwxrwxrwx 目录
创建一个文件或目录 默认权限
[root@nfsnobody nfsnobody]# touch 2.txt 创建文件
[root@nfsnobody nfsnobody]# ll 2.txt 默认权限644
-rw-r--r-- 1 root root 0 Aug 7 10:55 2.txt
[root@nfsnobody nfsnobody]# mkdir 1 创建目录
[root@nfsnobody nfsnobody]# ls -dl 1 目录权限默认755
drwxr-xr-x 2 root root 4096 Aug 7 10:55 1
umask 反掩码计算
umask为偶数
实例 当umask为0022
文件：
file- 666-022=644
目录：
dir- 777-022=755
umask为奇数
实例 当umask为0032
当umask为奇数时，计算文件的默认权限的时候，要在奇数位加1
目录不变
file- 666-032=634
+010 =644 最终是为644
umask=035
[root@nfsnobody ~]# umask 035
[root@nfsnobody ~]# touch file035
[root@nfsnobody ~]# mkdir dir035
[root@nfsnobody ~]# ll file035 && ll -d dir035 使用ls 命令查看
-rw-r---w- 1 root root 0 Sep 6 10:42 file035
drwxr---w- 2 root root 4096 Sep 6 10:42 dir035
修改umask的方法
[root@nfsnobody ~]# vim /etc/profile
if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then
umask 002
else
umask 022
fi
解释：
如果 [ 用户UID>=199 ] 并且 [ 用户的名字 == 用户组名字 ];然后
umask 002
那么
umask 022
网站权限-让网站更安全
控制权限
让网站以www身份运行
让主要的文件归root用户所有
对于用户上传的文件处理
让用户上传的文件放在属于www用户的文件夹中；
限制文件的后缀；
上传之后不能查看……
网站 blog.nfsnobody.com
/app/blog
1.网站通过www用户运行（虚拟用户）
2.控制目录/app/blog 权限
file 644 root root
dir 755 root root
3.网站上传目录upload
file 644 www www
dir 755 www www
模拟网站环境试验
模拟环境
mkdir -p /app/blog /app/blog/upload
touch /app/blog/tao.avi /app/blog/dao.mp4 /app/blog/ndd.torrent
useradd www
在www用户下测试
[www@nfsnobody blog]$ whoami 检查当前用户
www
[www@nfsnobody blog]$ ll 查看 可以查看
total 4
-rw-r--r-- 1 root root 0 Aug 7 11:38 dao.mp4
-rw-r--r-- 1 root root 0 Aug 7 11:38 ndd.torrent
-rw-r--r-- 1 root root 0 Aug 7 11:38 tao.avi
drwxr-xr-x 2 root root 4096 Aug 7 11:38 upload
试验 上传文件到upload目录
[www@nfsnobody blog]$ touch /app/blog/movie.avi 无法写入 报错
touch: cannot touch `/app/blog/movie.avi': Permission denied
[www@nfsnobody blog]$ chown www.www /app/blog/upload/ 解决方法 给www权限
隐藏权限
隐藏权限的作用
lsattr 查看隐藏权限
chattr 授予文件或目录隐藏的权限 如 +a -a
a (append只能追加)如果设置了这个权限 只能追加 不能删除 不能修改
i (immutable无敌) 无法删除 无法修改
重要的文件或命令加上隐藏权限
主要命令+i
重要的配置文件+a
/etc/passwd
/etc/shadow
/etc/group
/etc/gshadow
测试a权限
只能向文件中追加内容，不能删除
a (append只能追加)如果设置了这个权限 只能追加 不能删除 不能修改
[root@nfsnobody /nfsnobody]# chattr +a test.sh 给文件加上a权限
[root@nfsnobody /nfsnobody]# lsattr test.sh 检查
-----a-------e- test.sh
[root@nfsnobody /nfsnobody]# #a append 只能追加
[root@nfsnobody /nfsnobody]# >test.sh 无法清空
-bash: test.sh: Operation not permitted
[root@nfsnobody /nfsnobody]# echo pwd >>test.sh 可以追加
[root@nfsnobody /nfsnobody]#
m -f test.sh 无法删除
rm: cannot remove `test.sh': Operation not permitted
测试i权限
i (immutable无敌) 无法删除 无法修改
不能对文件进行任何操作，root用户也不能操作。
[root@nfsnobody ~]# chattr +i nfsnobody.txt
[root@nfsnobody ~]# lsattr nfsnobody.txt
----i--------e- nfsnobody.txt