1
2
3
4
5

# 读取文件内容
cat myfile.txt    # 需要r权限

# 列出目录内容
ls /mydir         # 需要r权限

1
2
3
4
5

# 修改文件内容
echo "hello" > myfile.txt   # 需要w权限

# 在目录里创建文件
touch /mydir/newfile        # 需要w权限

1
2
3
4
5

# 执行脚本
./my_script.sh   # 需要x权限

# 进入目录
cd /mydir         # 需要x权限

1
2
3
4
5
6
7

# 查看文件的所有者
ls -l myfile.txt

# 输出：
# -rw-r--r-- 1 longx developers ... myfile.txt
#         ^^^
#         longx就是所有者

1
2
3
4
5
6
7

# 查看文件的所属组
ls -l myfile.txt

# 输出：
# -rw-r--r-- 1 longx developers ... myfile.txt
#                   ^^^^^^^^^^
#                   developers就是所属组

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

# 0：无权限（---）
# 没有任何权限，连看都不能看
chmod 000 file    # 谁都不能访问

# 1：执行（--x）
# 只能执行，不能读不能写
chmod 001 file    # 可以运行

# 2：写入（-w-）
# 只能写，不能读不能执行（很少用）
chmod 002 file    # 可以修改

# 3：写+执行（-wx）
# 可以修改，可以运行，但不能读取内容
chmod 003 file    # 可以修改和运行

# 4：读（r--）
# 只能读取，不能修改不能执行
chmod 004 file    # 可以查看

# 5：读+执行（r-x）
# 可以查看，可以运行，但不能修改
chmod 005 file    # 可以查看和运行

# 6：读+写（rw-）
# 可以查看，可以修改，但不能执行
chmod 006 file    # 可以查看和修改

# 7：读+写+执行（rwx）
# 完整权限，啥都能干
chmod 007 file    # 完全控制

1
2
3
4
5
6
7
8
9

# 记住这个口诀：
# 0 = 没戏
# 1 = 跑
# 2 = 写
# 3 = 写+跑
# 4 = 看
# 5 = 看+跑
# 6 = 看+写
# 7 = 看+写+跑（全开）

1
2
3
4
5

# 最常见的目录权限
# 所有者：rwx（7）—— 完全控制
# 所属组：r-x（5）—— 可以看和进入
# 其他用户：r-x（5）—— 可以看和进入
chmod 755 /mydir

1
2
3
4
5

# 最常见的文件权限
# 所有者：rw-（6）—— 可以读和写
# 所属组：r--（4）—— 只能读
# 其他用户：r--（4）—— 只能读
chmod 644 readme.txt

1
2
3
4
5

# 最高权限！所有人都能做任何事
# 所有者：rwx（7）
# 所属组：rwx（7）
# 其他用户：rwx（7）
chmod 777 danger.sh

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# chmod u+x file：给所有者添加执行权限
chmod u+x myscript.sh

# chmod g-w file：从所属组移除写入权限
chmod g-w secret.txt

# chmod o=r file：设置其他用户只有读取权限
chmod o=r readme.md

# chmod a+x file：给所有人添加执行权限
chmod a+x launcher.sh

# chmod u=rwx,g=rx,o=：所有者rwx，组rx，其他人无权限
chmod u=rwx,g=rx,o= script.sh

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# 实战例子
# 1. 让脚本可执行
chmod +x myscript.sh

# 2. 去掉group和其他人的所有权限
chmod go= file

# 3. 只给所有者读写权限
chmod u=rw,go= file

# 4. 给组和其他人添加读取权限
chmod go+r file

1
2
3
4
5
6
7

# 最常见的用法：让脚本可执行
chmod +x install.sh

# 等价于：
chmod a+x install.sh
# 或
chmod 755 install.sh

1
2
3
4
5
6
7

# 验证一下
ls -l install.sh

# 输出：
# -rwxr-xr-x 1 longx developers ... install.sh
#    ^^^
#    现在有执行权限了！

1
2
3
4
5

# 用数字设置权限
chmod 755 /mydir

# 等价于：
chmod u=rwx,g=rx,o=rx /mydir

1
2
3
4

# 批量设置权限
chmod 644 *.txt      # 所有txt文件设为644
chmod 755 *.sh       # 所有sh文件设为755
chmod 600 ~/.ssh/*   # SSH密钥设为600（只有自己能读写）

1
2
3
4
5
6
7

# 同时修改多个角色的权限
chmod u+x,g-w,o=rwx script.sh

# 解释：
# u+x：所有者添加执行权限
# g-w：所属组移除写入权限
# o=rwx：其他用户设为完全控制

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# 常用组合
# 让文件可执行，且只有所有者能修改
chmod 755 file

# 符号法要达到同样的效果，需要一步步写清楚：
chmod u=rwx,g=rx,o=rx file

# 注意：chmod u+x,go-wx file 并不等价于 755！
# 它只是在原有权限上"给所有者加 x、给组和其他人去掉 w 和 x"，
# 最终结果取决于原来的权限。比如原权限是 644 时，执行完是 744。

# 撤销所有权限，然后只给所有者读写
chmod 000 file         # 先清零
chmod 600 file         # 再设回600

1
2
3
4
5
6

# -R：递归修改目录及其内容
chmod -R 755 /mydir

# 警告：这会把目录里所有文件的权限都改成755
# 如果只是想改目录本身，不改里面的文件，用：
chmod 755 /mydir

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

# 把文件的拥有者改成zhangsan
sudo chown zhangsan report.txt

# 验证
ls -l report.txt

# 输出：
# -rw-r--r-- 1 zhangsan developers ... report.txt
#            ^^^^^^^
#            现在是zhangsan的了

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

# 同时修改所有者和所属组，用冒号分隔
sudo chown zhangsan:developers project.md

# 验证
ls -l project.md

# 输出：
# -rw-r--r-- 1 zhangsan developers ... project.md
#            ^^^^^^^^ ^^^^^^^^^^^
#            所有者       所属组

1
2
3
4
5
6
7
8

# 递归修改：把目录及里面所有内容的主人改成zhangsan
sudo chown -R zhangsan:developers /var/www/html

# 这会修改：
# /var/www/html/（目录本身）
# /var/www/html/index.html（文件）
# /var/www/html/style.css（文件）
# /var/www/html/*.js（所有文件）

1
2
3
4

# 常用操作：给网站文件设置正确的权限
sudo chown -R www-data:www-data /var/www/html
# 网站服务器（nginx/apache）的用户通常是www-data
# 这样网站文件就归www-data了，网站服务器可以正常读写

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

# 把文件的所属组改成developers
chgrp developers report.txt

# 验证
ls -l report.txt

# 输出：
# -rw-r--r-- 1 longx developers ... report.txt
#                        ^^^^^^^^^^^
#                        现在是developers组了

1
2
3
4
5

# 递归修改
chgrp -R developers /shared/docs

# 普通用户也可以使用chgrp，但只能改成自己所在的组
# 你不能把文件改成你不属于的组

1
2
3

# chown也可以改组（更常用）
sudo chown :developers file.txt   # 只改组，不改所有者
# 注意：chown在所有者后面加冒号和组名

1
2
3
4
5
6

# 文件的最大权限是 666（rw-rw-rw-）——注意不含 x，普通文件默认不给执行权限
# 再"抹掉"umask 中为 1 的位，就是最终权限

# umask = 022 表示"抹掉 组 和 其他人 的写权限（w = 2）"
# 从 rw-rw-rw- 去掉这两类 w，得到
# rw-r--r--  →  644

1
2
3
4
5
6

# 目录的最大权限是 777（rwxrwxrwx）——目录默认带 x，否则进不去
# 再抹掉 umask 中为 1 的位

# umask = 022：抹掉组和其他人的 w
# 从 rwxrwxrwx 去掉这两类 w，得到
# rwxr-xr-x  →  755

1
2
3
4
5

# 查看当前的umask值
umask

# 输出：
# 0022

1
2
3
4
5
6

# umask 的 4 位含义（从右往左看更直观）：
#   最后一位 2：其他人的权限里要去掉 w
#   倒数第二位 2：所属组的权限里要去掉 w
#   倒数第三位 0：所有者的权限一位都不去掉
#   最左边那位 0：特殊权限位（SUID/SGID/Sticky Bit）不去掉
# 所以 0022 = "组和其他人都不给写权限"，这是最常见的默认值

1
2
3
4
5
6

# 设置umask（临时生效，当前shell会话内）
umask 027

# umask 027 的效果：去掉 组的 w(2)，以及 其他人的 rwx(7)
# 文件：rw-rw-rw- 去掉组 w、其他人 rwx → rw-r-----（640）
# 目录：rwxrwxrwx 去掉组 w、其他人 rwx → rwxr-x---（750）

1
2
3
4
5
6

# 永久设置umask（在~/.bashrc或~/.profile里）
echo "umask 027" >> ~/.bashrc
source ~/.bashrc

# 或者更规范的做法：
# 在 ~/.bashrc 中找到 umask 那行，修改它

1
2
3
4

# 不同场景推荐使用的umask值：
# 普通用户：0022（组外的人没有写入权限）
# 多用户协作：0002（组成员可以互相修改文件）
# 极度安全：0077（只有自己能访问）

1
2
3
4
5
6
7
8
9

# 1. 先看看现在的权限情况
ls -la /var/www/html

# 输出：
# total 8
# drwxr-xr-x 5 root root 4096 ... .
# drwxr-xr-x 2 root root 4096 ... ..
# -rw-r--r-- 1 root root  220 ... index.html
# -rw-r--r-- 1 root root  330 ... style.css

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

# 2. 把网站目录及所有文件设为www-data用户和组
sudo chown -R www-data:www-data /var/www/html

# 3. 设置目录权限为755（可以进入和查看）
sudo find /var/www/html -type d -exec chmod 755 {} \;

# 4. 设置文件权限为644（所有者可读写，其他人只能读）
sudo find /var/www/html -type f -exec chmod 644 {} \;

# 5. 给上传目录单独设置权限（允许写入）
sudo chown -R www-data:www-data /var/www/html/uploads
sudo chmod 755 /var/www/html/uploads

# 6. 验证最终权限
ls -la /var/www/html

# 输出：
# drwxr-xr-x 5 www-data www-data ... .
# drwxr-xr-x 3 root root   ... ..
# -rw-r--r-- 1 www-data www-data 220 ... index.html
# -rw-r--r-- 1 www-data www-data 330 ... style.css
# drwxr-xr-x 5 www-data www-data ... uploads/

1
2
3
4
5
6

# 只看权限和名字（脚本里常用）
ls -l | awk '{print $1, $9}'

# 只看目录本身的权限，不递归进去（-d）
ls -ld /tmp
# drwxrwxrwt  ... /tmp    ← 注意末尾的 t

1
2
3
4
5
6
7
8

# 错误信息：
# bash: ./script.sh: Permission denied

# 原因：脚本没有执行权限

# 解决：
chmod +x script.sh
./script.sh

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# 错误信息：
# rm: cannot remove 'file': Operation not permitted

# 原因：可能是文件被锁定了（chattr +i）

# 解决：
# 查看文件属性
lsattr file
# 如果有 i 属性：
sudo chattr -i file
# 然后再删除

1
2
3
4
5
6
7
8

# 错误信息：
# chown: changing ownership of 'file': Operation not permitted

# 原因：普通用户不能修改文件所有者（只有root可以）

# 解决：
# 用sudo
sudo chown newuser:newgroup file

1
2
3
4
5
6
7
8

# 现象：
# 目录权限是777，但创建文件报错

# 原因：可能是文件系统挂载时带了noexec或ro选项

# 检查：
mount | grep /mydir
# 如果看到ro或noexec，就需要sudo mount重新挂载

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

# 错误信息：
# sudo: /etc/sudoers is mode 0666, should be 0440
# sudo: no valid sudoers sources found, quitting

# 原因：sudoers 文件权限被改坏了（sudo 会拒绝加载"任何人都能改"的配置，
#      因为它意味着攻击者可以偷偷把你变成 root）

# 解决：
# 1) 如果你还有另一个 root 会话/单用户模式，直接修权限：
sudo chmod 0440 /etc/sudoers
sudo chown root:root /etc/sudoers

# 2) 如果已经完全进不去 sudo（被自己锁住了）：
#    - 用 su - 切到 root（需要知道 root 密码），或
#    - 重启进入单用户/救援模式（recovery mode）后修改
#    - 云服务器可用 VNC/控制台