XiaowenBlog/source/_posts/Linux用户与权限.md

---
title: Linux用户与权限
date: 2021-04-07 16:04:58
author: 文永达
top_img: https://gcore.jsdelivr.net/gh/volantis-x/cdn-wallpaper/abstract/00E0F0ED-9F1C-407A-9AA6-545649D919F4.jpeg
tags: [Linux, Shell, 用户管理]
categories: [操作系统, Linux]
---

# Linux用户与权限

## 用户管理

### 查看用户

```shell
# 查看当前用户
who am i

# 查看当前登录用户数量
who --count
```

### 用户组管理

```shell
# 创建用户组
groupadd groupname

# 删除用户组
groupdel groupname
```

### 用户管理

```shell
# 创建用户并指定用户组
useradd username -g usergroup

# 设置用户密码
passwd username

# 切换用户
# 从 root 切换到其他用户不需要输入密码
# 从其他用户切换到 root 需要输入密码
su username

# 退出登录
exit
```

### 收回用户 Shell 权限

限制用户登录系统，禁止其使用交互式 Shell。

#### 设置禁止登录的 Shell

```shell
# 方法一：使用 /sbin/nologin（推荐）
usermod -s /sbin/nologin username

# 方法二：使用 /bin/false
usermod -s /bin/false username
```

#### 查看用户当前 Shell

```shell
grep username /etc/passwd

# 或
getent passwd username
```

输出示例：

```
username:x:1001:1001::/home/username:/sbin/nologin
```

#### 各 Shell 对比

| Shell | 效果 |
| --- | --- |
| `/bin/bash` | 正常登录，可执行命令 |
| `/sbin/nologin` | 拒绝登录，提示 `This account is currently not available` |
| `/bin/false` | 拒绝登录，无提示，退出码为 1 |
| `/usr/sbin/nologin` | 与 `/sbin/nologin` 相同（部分系统软链接） |

> **适用场景**：数据库用户、服务专用账户、FTP 账户等只需运行服务不需要登录系统的用户。

#### 恢复登录权限

```shell
usermod -s /bin/bash username
```

#### 批量收回

```shell
# 读取用户列表文件，批量设置
while read user; do
    usermod -s /sbin/nologin "$user"
done < userlist.txt
```

---

## 权限管理

### Linux文件权限

Linux 文件有三种权限：

| 权限 | 说明 |
|-----|------|
| `r` | 可读 |
| `w` | 可写 |
| `x` | 可执行 |

### chmod 命令

修改文件或目录权限。

#### 基本语法

```shell
chmod [选项] 模式 文件
```

#### 符号模式

通过 `u`（所有者）、`g`（所属组）、`o`（其他用户）、`a`（所有人）配合 `+`、`-`、`=` 操作权限。

**操作符区别**：

| 操作符 | 作用 | 说明 |
|--------|------|------|
| `+` | 添加权限 | 在原有权限基础上增加，不影响已有权限 |
| `-` | 移除权限 | 从现有权限中移除，不影响未指定的权限 |
| `=` | 直接设置 | 覆盖为指定权限，其余位清零 |

```shell
# + 添加权限（累加，不影响其他位）
chmod u+x script.sh      # 所有者添加执行权限
chmod a+r file.txt       # 所有人添加读权限
chmod g+w,o+r file.txt   # 组添加写，其他添加读

# - 移除权限（仅移除指定位，其余保留）
chmod o-w file.txt       # 其他用户移除写权限
chmod g-x script.sh      # 组移除执行权限
chmod a-w file.txt       # 所有人移除写权限

# = 直接设置（覆盖，未指定的位全部清零）
chmod u=r file.txt       # 所有者只有读权限（写和执行被清除）
chmod g=r file.txt       # 组只有读权限
chmod o= file.txt        # 其他用户无任何权限
chmod u=rwx,g=rx,o= file.txt  # 精确控制每位权限

# + 重复添加已有权限不会报错，保持不变
chmod u+x file.txt       # 如果已有执行权限，不变
chmod a+r file.txt       # 如果所有人已有读权限，不变
```

> **注意**：`+` 是幂等操作，重复添加已有权限不会产生任何变化，也不会报错。`-` 同理，移除不存在的权限也不会报错。

**示例对比**：

```shell
# 假设文件当前权限为 rw-r--r--（644）

chmod u+x file.txt      # 结果：rwxr--r--（654）只给所有者加了执行
chmod u-x file.txt      # 结果：rw-r--r--（644）移除执行（本来就没有，不变）
chmod u=r file.txt      # 结果：r--r--r--（444）所有者变成只读，写被清掉
chmod u=rw file.txt     # 结果：rw-r--r--（644）所有者读写
chmod u=rwx,g=rx,o= file.txt  # 结果：rwxr-x---（750）
```

#### 数字模式

用三位八进制数表示权限，每位对应 `u`、`g`、`o`。

| 数字 | 权限 | 说明 |
|-----|------|------|
| 7 | rwx | 读、写、执行 |
| 6 | rw- | 读、写 |
| 5 | r-x | 读、执行 |
| 4 | r-- | 只读 |
| 0 | --- | 无权限 |

```shell
# rwxr-xr-x（所有者全权限，组和其他用户读执行）
chmod 755 file.txt

# rw-r--r--（所有者读写，组和其他用户只读）
chmod 644 file.txt

# rw-rw----（所有者和组读写，其他用户无权限）
chmod 660 file.txt

# rwx------（仅所有者有全部权限）
chmod 700 file.txt

# rw-rw-rw-（所有人可读写）
chmod 666 file.txt
```

#### 常用权限参考

| 权限值 | 含义 | 适用场景 |
|--------|------|----------|
| `755` | rwxr-xr-x | 可执行脚本、程序，公开目录 |
| `644` | rw-r--r-- | 普通文件，所有人可读 |
| `700` | rwx------ | 私有目录，仅所有者可访问 |
| `600` | rw------- | 私有文件，如 SSH 密钥 |
| `640` | rw-r----- | 服务配置文件，组可读 |
| `777` | rwxrwxrwx | 所有人可读写执行（不推荐） |

#### 常用选项

```shell
# 递归修改目录及子目录下所有文件
chmod -R 755 /var/www/html

# 仅修改目录本身的权限
chmod 755 /var/www/html

# 修改符号链接的权限（不常用）
chmod -h 755 link_file

# 显示修改过程
chmod -v 755 file.txt
```

#### 设置特殊权限

```shell
# SUID（4）：执行时以文件所有者身份运行
chmod 4755 /usr/bin/passwd

# SGID（2）：执行时以文件所属组身份运行
chmod 2755 /shared_dir

# Sticky Bit（1）：目录内文件只有所有者能删除
chmod 1777 /tmp
```

**特殊权限数字对照**：

| 数字 | 权限 | 说明 |
|------|------|------|
| 4 | SUID | 执行时以所有者身份运行 |
| 2 | SGID | 执行时以组身份运行 |
| 1 | Sticky | 仅文件所有者可删除目录内文件 |

```shell
# 同时设置特殊权限和普通权限
chmod 4755 file    # SUID + rwxr-xr-x
chmod 2755 dir     # SGID + rwxr-xr-x
chmod 1777 /tmp    # Sticky + rwxrwxrwx
```

#### 通过八进制运算理解权限

```
用户(u)    组(g)    其他(o)
rwx        r-x      r--
4+2+1      4+0+1    4+0+0
  7          5        4    = 754
```

---

### chown 命令

修改文件或目录的所有者和所属组。

#### 基本语法

```shell
chown [选项] 所有者[:所属组] 文件
```

#### 常用操作

```shell
# 修改文件所有者
chown user file.txt

# 修改文件所有者和所属组
chown user:group file.txt

# 修改文件所属组
chown :group file.txt

# 递归修改目录及子文件
chown -R user:group /var/www/html

# 仅修改所有者
chown -R user /var/www/html

# 仅修改所属组
chown -R :group /var/www/html

# 显示修改过程
chown -v user file.txt
```

#### 常用选项

| 选项 | 说明 |
|------|------|
| `-R` | 递归修改目录及子目录下所有文件 |
| `-v` | 显示修改过程 |
| `-c` | 仅显示更改的文件 |
| `-f` | 静默模式，忽略错误 |
| `-h` | 修改符号链接本身而非链接目标 |

#### 与 chgrp 的区别

```shell
# chown 可同时修改所有者和所属组
chown user:group file.txt

# chgrp 只能修改所属组
chgrp group file.txt
```

#### 实用场景

```shell
# 部署 Web 项目
chown -R nginx:nginx /var/www/html

# 将目录交给特定用户管理
chown -R user:user /home/user/projects

# 修改 SSH 密钥权限
chmod 600 ~/.ssh/id_rsa
chown root:root ~/.ssh
chmod 700 ~/.ssh
```

---

## sudo权限

### 开启sudo权限

#### 1. 添加sudoers文件写权限

```shell
chmod u+w /etc/sudoers
```

#### 2. 编辑sudoers文件

```shell
vim /etc/sudoers
```

找到 `root ALL=(ALL) ALL` 这行，在其下面添加：

```
username ALL=(ALL) ALL
```

#### 3. sudoers配置选项

```shell
# 允许用户执行sudo命令（需要输入密码）
username            ALL=(ALL)                ALL

# 允许用户组里的用户执行sudo命令（需要输入密码）
%usergroup          ALL=(ALL)                ALL

# 允许用户执行sudo命令，不需要输入密码
username            ALL=(ALL)                NOPASSWD: ALL

# 允许用户组里的用户执行sudo命令，不需要输入密码
%usergroup          ALL=(ALL)                NOPASSWD: ALL
```

#### 4. 撤销sudoers文件写权限

```shell
chmod u-w /etc/sudoers
```

---

## ACL权限

> ACL（访问控制列表）提供更细粒度的权限控制，允许为特定用户或组设置特定权限。

### 安装ACL工具

```shell
# Ubuntu/Debian
sudo apt install acl -y

# Fedora/AlmaLinux
sudo dnf install acl -y
```

### 设置ACL权限

```shell
# 为指定用户设置读写权限
sudo setfacl -m u:user:rwx /OLAP
```

### 验证ACL权限

```shell
getfacl /OLAP
```

**输出示例**：

```
getfacl: Removing leading '/' from absolute path names
# file: OLAP
# owner: user
# group: user
user::rwx
group::r-x
other::r-x
```

### 设置默认ACL权限

让新创建的文件和子目录自动继承特定权限：

```shell
sudo setfacl -dm u:user:rwx /OLAP
```

---

## 目录权限修改

### 查看目录权限

```shell
sudo ls -ld /OLAP
```

**输出示例**：

```
drwxr-xr-x 5 root root 4096 Aug  5 08:27 /OLAP
```

### 修改目录权限

```shell
# 设置权限为775（rwxrwxr-x）
sudo chmod 775 /OLAP
```

这样目录的所有者和所属组的用户都可以读写，其他用户只有读取和执行权限。

### 将用户加入目录所属组

```shell
# 将用户加入root组（不推荐，root组权限过高）
sudo usermod -aG root user
```

重新登录或重启系统以使组变更生效。

### 更改目录所有者

```shell
# 将目录所有者更改为指定用户
sudo chown user:user /OLAP
```

这样用户将拥有对目录的完全控制权。