一、Linux 中的用户
Linux 下有两种用户:
- 超级用户(root):可以在 Linux 系统下做任何事情,不受限制。
- 普通用户:在 Linux 下做有限的事情。
超级用户的命令提示符是 “#”,普通用户的命令提示符是 “$”。
切换用户命令:
1、语法
su [用户名]
2、功能
切换用户。
要从 root 用户切换到普通用户 user,则使用 su user;
要从普通用户 user 切换到 root 用户则使用 su root(root 可以省略),此时系统会提示输入 root 用户的口令。
3、举例
- 切换成超级用户:su -
- 切换回普通用户:Ctrl + D
4、拓展
【拓展一】
如果我不想切换成 root 用户,但我想用 root 的身份去执行一些命令,可以采取在命令前带 sudo 的方式,可以对该命令进行短期(大概 10-15 min)的权限提升。
语法:sudo [命令]
【拓展二】
如果在执行命令的过程中,遇到如下报错:
xx is not in the sudoers file. This incident will be reported.
解决方法是切换成 root 用户,执行该命令,然后再切换回普通用户。
二、Linux 权限管理
什么是权限:决定某件事情,某人能否做。
文件权限 = 人 + 事物属性
- 文件受 “ 人 ” 的影响
- 文件受本身特点的影响(“事物属性”)
人(不一定是特定具体的人,而是一种角色):拥有者,所属组,other(其它用户)
文件权限属性:r(Read 读权限),w(Write 写权限),x(Execute 执行权限)
1、文件访问者的分类(人)
- 文件和文件目录的所有者:u —— User
- 文件和文件目录的所属者所在的组的用户:g —— Group
- 其它用户:o —— Others
2、文件类型和访问权限(事物属性)
输入命令 ll 查看该目录下文件的详细信息。
(1)文件类型
Windows 是通过后缀来区分文件类型。而 Linux 区分文件类型一般不是通过后缀,而是通过属性列的第一个字符。
但这并不代表某些软件不关心后缀,比如 gcc。
- d:文件夹
- -:普通文件
- l:软链接(类似 Windows 的快捷方式)
- b:块设备文件(例如硬盘、光驱等)
- p:管道文件
- c:字符设备文件(例如屏幕等串口设备)
- s:套接口文件
(2)文件基本权限
属性列的第一个字符的后面 9 个字符,3 个 3 个为一组,表示文件的权限属性。
权限属性:
- r / -:Read 对文件而言,具有读取文件内容的权限;对目录 / 文件夹来说,具有浏览该目录信息的权限,如 ls 命令。
- w / -:Write 对文件而言,具有修改文件内容的权限;对目录 / 文件夹来说,具有创建删除移动改名目录内文件的权限。
- x / -:Execute 对文件而言,具有执行文件的权限;对目录 / 文件夹来说,具有进入目录的权限,即 cd 进入。
- -:表示不具备该项权限。
Group 存在意义是什么呢?
保证项目安全的前提,方便组内协同。
公司里有一台服务器,有两个项目技术组,A 组和 B 组,老板让两个组同时开发一个项目,比一比谁做的更好。虽然都是公司的员工,但并不想另外一组看到我们的项目文件,该怎么办呢?
假如 A 组中的张三创建了该项目文件,张三是该项目的所属用户 Owner,可读可写;
A 组的其它组员则是所属用户组 Group,设置成可读可写;
B 组的人都是 Other,设置成不可读不可写,这样他们就什么都看不到;
我们对这三类访问者进行了项目文件的访问权限控制。在保证项目安全的前提下,方便组内协同。
3、文件权限值的表示方法
对文件的访问权限有是否读、是否写、是否可执行。
这种是与否的概念相当于二进制中的 1 表示是,0 表示否。
4、文件访问权限的相关设置方法
(1)chmod(Change Mode)
1、功能
设置文件的访问权限
2、格式
chmod [参数] [权限] [文件名]
3、常用选项
- -R:递归修改目录文件的权限,也就是对文件夹内的全部内容应用同样规则(只有文件的拥有者和 root 才可以改变文件的权限)
① 用户表示符 + / - / = 权限字符
+:向权限范围增加权限代号所表示的权限。
-:向权限范围取消权限代号所表示的权限。
=:向权限范围重新赋予权限代号所表示的权限。
用户表示符:
u:user 拥有者。
g:group 拥有者同组用。
o:others 其它用户。
a:all 所有用户。
4、举例
(1)使用举例一(增加取消权限)
取消 test.c 文件的拥有者(u)的读(r)权限:
[ll@VM-0-12-centos lesson4]$ chmod u-r test.c
[ll@VM-0-12-centos lesson4]$ ll
--w-rw-r-- 1 ll ll 72 Jan 4 17:10 test.c
取消 test.c 文件的所属用户组(g)的读写(rw)权限:
[ll@VM-0-12-centos lesson4]$ chmod g-rw test.c
[ll@VM-0-12-centos lesson4]$ ll
--w----r-- 1 ll ll 72 Jan 4 17:10 test.c
增加 test.c 文件的其它用户(o)的读写执行(rwx)权限:
[ll@VM-0-12-centos lesson4]$ chmod o+rwx test.c
[ll@VM-0-12-centos lesson4]$ ll
--w----rwx 1 ll ll 72 Jan 4 17:10 test.c
对 test.c 文件的拥有者增加读权限,所属组增加读写权限,其它用户取消读写执行权限:
[ll@VM-0-12-centos lesson4]$ chmod u+r,g+rw,o-rwx test.c
[ll@VM-0-12-centos lesson4]$ ll
-rw-rw---- 1 ll ll 72 Jan 4 17:10 test.c
(2)使用举例二(重新赋予权限)
[ll@VM-0-12-centos lesson4]$ ll
-rw-rw---- 1 ll ll 72 Jan 4 17:10 test.c
[ll@VM-0-12-centos lesson4]$ chmod o=rw test.c #=对文件权限重新赋予
[ll@VM-0-12-centos lesson4]$ ll
-rw-rw-rw- 1 ll ll 72 Jan 4 17:10 test.c
(3)使用举例三
[ll@VM-0-12-centos lesson4]$ chmod u-r test.c #取消test.c的拥有者(u)的读(r)权限
[ll@VM-0-12-centos lesson4]$ ll
--w-rw-r-- 1 ll ll 72 Jan 4 17:10 test.c #读权限没有了
#-----------------------------------------------------------------#
[ll@VM-0-12-centos lesson4]$ cat test.c #查看test.c的内容
cat: test.c: Permission denied #显示没有权限
解决方法:使用 sudo 暂时提升权限成为 root,可查看文件内容:
sudo cat test.c
root 对于 test.c 来说,其角色是其它用户(other),却可以随意访问 test.c,为什么呢?
因为权限永远都是约束普通用户的,root 用户不受权限约束。
② 基于三位8进制数字来修改权限
7 的八进制形式为 111,表示 rwx,可读可写可执行,一次性设置三类用户的文件访问权限:
[ll@VM-0-12-centos lesson4]$ chmod 777 test.c
[ll@VM-0-12-centos lesson4]$ ll
-rwxrwxrwx 1 ll ll 72 Jan 4 17:10 test.c
660 -> 110 110 000,设置文件所有者和所属组的权限为 rw-,其它用户的权限为 ---:
[ll@VM-0-12-centos lesson4]$ chmod 660 test.c
[ll@VM-0-12-centos lesson4]$ ll
-rw-rw---- 1 ll ll 72 Jan 4 17:10 test.c
(2)chown(Change Owner)
1、功能
修改文件的 拥有者 。
2、格式
chown [参数] [用户名] [文件名](chown [参数] [用户] : [用户] [文件名])
“ : ” 用于分隔用户和用户组。
3、实例
把 test.c 文件的所有者改为 root,提示说不允许操作。就相当于你把这个东西(test.c)给别人,肯定是需要征得别人同意的。
[ll@VM-0-12-centos lesson4]$ chown root test.c
chown: changing ownership of ‘test.c’: Operation not permitted
所以我们需要用 sudo 暂时提升一下我们的权限,来修改文件的所有者:
$ sudo chown root test.c
#$ sudo chown sctest test.c
修改之后:
[ll@VM-0-12-centos lesson4]$ ll
-rw-rw-r-- 1 root ll 72 Jan 4 17:10 test.c
(3)chgrp(Change Group)
1、功能
修改文件或目录的 所属组 。
2、格式
chgrp [参数] [用户组名] [文件名]
3、常用选项
-R : 递归修改文件或目录的所属组。
4、实例
修改文件的所属组为 root,提示说不允许操作,类似第 5、文件所有者的修改:chown 指令
[ll@VM-0-12-centos lesson4]$ chgrp sctest test.c
chgrp: changing group of ‘test.c’: Operation not permitted
所以我们需要用 「sudo」 暂时提升一下我们的权限,来修改文件的所属组:
$ sudo chgrp root test.c
修改之后:
[ll@VM-0-12-centos lesson4]$ ll
-rw-rw-r-- 1 ll root 72 Jan 4 17:10 test.c
5、拓展
如何一次性修改文件所有者和所属组:
$ sudo chown ll:ll test.c #文件所有者和所属组都被修改成了ll
⚪拓展(Linux 中的默认权限由什么决定)
查看文件详细信息,可以看到文件所有者、所属组、其它用户的权限
对于一般普通文件,新建文件的默认权限为 666(rw- rw- rw-)
对于一般目录文件,新建目录的默认权限为 777(rwx rwx rwx)
但实际上你所创建的文件和目录,看到的权限往往不是上面这个值。原因就是创建文件或目录的时候还要受到 umask 的影响。所以我们在 Linux 中看到的实际创建出来的文件权限是这样的:
[ll@VM-0-12-centos lesson4]$ ll
total 8
drwxrwxr-x 2 ll ll 4096 Jan 13 21:32 dir #775(文件权限值用八进制表示)
-rw-rw-r-- 1 ll ll 72 Jan 4 17:10 test.c #664
这又是为什么呢?下面给大家介绍一下有关权限掩码的概念。
【权限掩码】
权限掩码是由 3 个八进制的数字所组成,将现有的存取权限减掉权限掩码后,即可产生建立文件时预设的权限。
(4)umask
1、功能
查看或修改文件掩码。
2、格式
umask [权限值]
3、说明
将现有的存取权限减去权限掩码后,即可产生建立文件时预设权限。超级用户默认掩码值 0022 , 普通用户默认为 0002 。
(1)使用指令 "umask" 查看当前权限掩码,我们只关注后 3 个八进制数字
[ll@VM-0-12-centos lesson4]$ umask
0002 #权限掩码为002 --> 000 000 010 --> 我们可以看到other的写权限为1
凡是在 umask 中出现的权限,都应该减掉,不应该在文件预设权限中出现。
【预设权限计算方法一】
建立文件时预设权限 = 默认权限 & (~umask)
#建立文件时预设权限 = 默认权限 & ~umask666 --> 110 110 110
~002 --> 111 111 101 &
------------------------110 110 100 --> 664 #文件默认权限为666,通过计算后得到预设权限为664
【预设权限计算方法二】
建立文件时预设的权限 = 默认权限 - 权限掩码
#建立文件时预设的权限 = 默认权限 - 权限掩码
[ll@VM-0-12-centos lesson4]$ ll
total 8
drwxrwxr-x 2 ll ll 4096 Jan 13 21:32 dir #777-002=775(rwx rwx r-x)
-rw-rw-r-- 1 ll ll 72 Jan 4 17:10 test.c #666-002=664(rw- rw- r--)
(2)我们通过指令 "umask" 可用来设置建立文件时预设的权限掩码
[ll@VM-0-12-centos lesson4]$ umask 777 #权限掩码被设置成777
(5)file 指令
1、功能说明
辨识文件类型。
2、语法
file [选项] [文件或目录]
3、常用选项
- -c 详细显示指令执行过程,便于排错或分析程序执行的情形。
- -z 尝试去解读压缩文件的内容。
[ll@VM-0-12-centos lesson4]$ file test.c
test.c: C source, ASCII text
[ll@VM-0-12-centos lesson4]$ file file1.txt
file1.txt: empty
4、使用 sudo 分配权限
(1)修改 /etc/sudoers 文件分配文件
# chmod 740 /etc/sudoers
# vi /etc/sudoer
接受权限的用户登陆的主机 = (执行命令的用户) 命令
(2)使用 sudo 调用授权的命令
$ sudo –u [用户名] [命令]
$sudo -u root /usr/sbin/useradd u2
5、目录的权限
目录也是文件,既然是文件,就也有自己的权限。
- 可执行权限:如果目录没有可执行权限, 则无法 cd 到目录中。
- 可读权限:如果目录没有可读权限, 则无法用 ls 等命令查看目录中的文件内容。
- 可写权限:如果目录没有可写权限, 则无法在目录中创建文件, 也无法在目录中删除文件。
(1)如果要在目录下创建文件,需要什么权限?
需要写权限 w,如果没有,则无法在目录中创建和删除文件。
(2)要读取目录下的文件列表,要什么权限?
需要读权限 r,如果没有,则无法用 ls 等命令查看目录中的文件内容。
(3)要进入一个目录要什么权限?
具有可执行权限 x,如果没有,则无法用 cd 命令进入到目录中。
【思考】
这里有一个问题,只要用户具有目录的写权限,用户就可以在目录中创建和删除文件,而不论这个用户是否有这个文件的写权限。
换而言之,假设张三在目录 A 中创建了一个文件,而李四有目录 A 的写和执行权限,那么他就可以进入目录删除掉我的文件吗?
下面来验证一下:这里有一个目录,用 sudo 提升我们的权限将目录的所有者和所属组改成 root,其 u、g、o 权限都修改为 rwx:
[ll@VM-0-12-centos lesson4]$ ll
drwxrwxrwx 2 root root 4096 Jan 17 11:05 dir
在 dir 目录中创建一些文件,用 sudo 提升我们的权限将文件的所有者和所属组改成 root,并去掉其它用户的所有权限:
[ll@VM-0-12-centos dir]$ ll
total 0
-rw-rw---- 1 root root 0 Jan 17 11:20 file1.txt #其它用户没有可写可读可执行权限
-rw-rw---- 1 root root 0 Jan 17 11:20 file2.txt
-rw-rw---- 1 root root 0 Jan 17 11:20 file3.txt
此时我作为其它用户,有 dir 目录的写权限,来对目录里 root 的文件执行 rm 指令:
[ll@VM-0-12-centos dir]$ rm file1.txt
结果发现,我(其它用户,有目录的写和执权限)是可以删除目录中 root 的文件。那么应该怎么防止这种情况的发生呢?下面给大家介绍一下有关粘滞位的概念。
1、粘滞位
同一个目录下,不同用户创建的文件,可能会被其它用户删掉,为了防止被删掉,给目录设置粘滞位。
[ll@VM-0-12-centos lesson4]$ ll
drwxrwxrwx 2 root root 4096 Jan 17 11:05 dir
----------------------------------------------------------
[ll@VM-0-12-centos lesson4]$ sudo chmod +t dir #给目录加上粘滞位
----------------------------------------------------------
[ll@VM-0-12-centos lesson4]$ ll
drwxrwxrwt 2 root root 4096 Jan 17 11:05 dir #该目录其它用户权限变成了rwt
此时再去删除目录中 root 的文件,提示无法删除,操作不被允许:
[ll@VM-0-12-centos dir]$ rm file1.txt #不能删除目录中别人的文件
2、结论
在目录上设置 “粘滞位”(用 chmod + t),则该目录下的文件只能由
- 超级管理员删除。
- 该目录的所有者删除。
- 该文件的所有者删除。
-
只有目录内文件的所有者或者 root 才可以删除或移动该文件。
-
如果不为目录设置粘滞位,任何具有该目录写和执权限的用户都可以删除和移动其中的文件。
-
实际应用中,粘滞位一般用于 /tmp 目录(该目录通常保存系统中各用户产生的临时文件),以防止普通用户删除或移动其他用户的文件。
[ll@VM-0-12-centos dir]$ ll -d /tmp
drwxrwxrwt. 10 root root 4096 Jan 17 03:08 /tmp
三、关于权限的总结
- 目录的可执行权限是表示你可否在目录下执行命令。
- 如果目录没有 -x 权限,则无法对目录执行任何命令,甚至无法 cd 进入目录,即使目录仍然有 -r 读权限(这个地方很容易犯错,认为有读权限就可以进入目录读取目录下的文件)。
- 而如果目录具有 -x 权限,但没有 -r 权限,则用户可以执行命令,可以 cd 进入目录。但由于没有目录的读权限,所以在目录下,即使可以执行 ls 命令,但仍然没有权限读出目录下的文档。