DAC(RWX)

# 每种权限对应一个数字：r=4, w=2, x=1

rwx = 4+2+1 = 7    rw- = 4+2+0 = 6    r-x = 4+0+1 = 5
r-- = 4+0+0 = 4    -w- = 0+2+0 = 2    --x = 0+0+1 = 1
--- = 0+0+0 = 0

# 完整权限示例
chmod 755 script.sh    # rwxr-xr-x（可执行文件标准权限）
chmod 644 data.txt     # rw-r--r--（数据文件标准权限）
chmod 600 secret.key   # rw-------（私密文件）
chmod 777 public/      # rwxrwxrwx（危险！所有人都能读写）

# 符号模式（更直观）
chmod u+x script.sh    # 给所有者加执行权限 (user +x)
chmod g-w data.txt     # 移除组的写权限 (group -w)
chmod o= secret.key    # 清空其他人的所有权限 (other =)
chmod a+r public.txt   # 给所有人加读权限 (all +r)
chmod u=rwx,g=rx,o= app   # 设置精确权限

# 查看当前 umask
umask          # 0022（常见默认值）
umask -S       # u=rwx,g=rx,o=rx（符号模式显示）

# umask 计算原理
# 文件默认 = 0666 - umask
# 目录默认 = 0777 - umask

umask 0022：文件 0666-0022=0644 (rw-r--r--)  目录 0777-0022=0755 (rwxr-xr-x)
umask 0002：文件 0666-0002=0664 (rw-rw-r--)  目录 0777-0002=0775 (rwxrwxr-x)
umask 0077：文件 0666-0077=0600 (rw-------)  目录 0777-0077=0700 (rwx------)

# 临时修改
umask 0027

# 永久修改
echo "umask 0027" >> ~/.bashrc

# 经典示例：passwd 命令
ls -l /usr/bin/passwd
# -rwsr-xr-x 1 root root /usr/bin/passwd
#    ↑ s 在所有者 x 位 → SUID 已设置

# passwd 需要修改 /etc/shadow（仅 root 可写）
# 普通用户通过 SUID 临时获得 root 的 euid 来修改自己的密码

# 设置 SUID
chmod u+s /path/to/program
chmod 4755 /path/to/program

# 查看所有 SUID 文件
find / -perm -4000 -type f 2>/dev/null

# ⚠️ 危险示例：不要给 shell 设置 SUID！
# chmod u+s /bin/bash  ← 任何用户执行 bash 都获得 root shell

# SGID 作用于目录——共享项目目录的经典用法
mkdir /shared/project
chgrp devteam /shared/project
chmod 2770 /shared/project    # SGID + rwxrwx---
ls -ld /shared/project
# drwxrws--- 2 root devteam /shared/project
#       ↑ s 在组 x 位 → SGID 已设置

# 任何 devteam 成员在该目录创建的文件都属于 devteam 组

# 经典应用：/tmp 目录
ls -ld /tmp
# drwxrwxrwt 1 root root /tmp
#          ↑ t 在 other x 位 → Sticky Bit 已设置

# /tmp：所有人都可以创建文件，但只能删除自己的文件
chmod +t /shared/scratch
chmod 1777 /shared/scratch

# 大小写含义：
# SUID：s (有执行权限时) 或 S (无执行权限时)
# SGID：s (有执行权限时) 或 S (无执行权限时)
# Sticky：t (有执行权限时) 或 T (无执行权限时)

-rwsr-xr-x  → SUID + 所有者有 x
-rwSr--r--  → SUID + 所有者无 x (大写 S 警告)
drwxrws---  → SGID + 组有 x
drwxrwxrwt  → Sticky + other 有 x

// 简化的 struct cred（内核源码：include/linux/cred.h）
struct cred {
    kuid_t  uid;      /* 实际 UID (real UID) — 进程的真实身份 */
    kgid_t  gid;      /* 实际 GID */
    kuid_t  euid;     /* 有效 UID (effective UID) — 权限检查的核心 */
    kgid_t  egid;     /* 有效 GID */
    kuid_t  suid;     /* 保存的 UID (saved UID) — 暂存切换前的 euid */
    kgid_t  sgid;     /* 保存的 GID */
    kuid_t  fsuid;    /* 文件系统 UID — 用于 VFS 操作的权限检查 */
    kgid_t  fsgid;    /* 文件系统 GID */
    // ...
};

// 内核在 execve() 时处理 SUID（简化版）
// 源码路径：fs/exec.c → bprm_fill_uid()

static void bprm_fill_uid(struct linux_binprm *bprm) {
    // 检查文件是否设置了 SUID 位
    if (bprm->file->f_inode->i_mode & S_ISUID) {
        // 将新进程的 euid 设置为文件所有者的 uid
        bprm->cred->euid = bprm->file->f_inode->i_uid;
        bprm->cred->fsuid = bprm->file->f_inode->i_uid;
    }

    // 检查文件是否设置了 SGID 位
    if (bprm->file->f_inode->i_mode & S_ISGID) {
        bprm->cred->egid = bprm->file->f_inode->i_gid;
    }
}

// 三种 setuid 系统调用

// 1. setuid() — 简单设置
//    Root：可设为任意值，且 uid/euid/suid/fsuid 全部被设置
//    非 root：只能设为 uid 或 euid 或 suid 中的值
int setuid(uid_t uid);

// 2. setreuid() — 分别设置 real uid 和 effective uid
//    非 root：只能将 ruid 设为 ruid 或 euid，将 euid 设为 ruid/euid/suid
int setreuid(uid_t ruid, uid_t euid);

// 3. setresuid() — 精确设置三个 UID（最灵活）
//    非 root：每个参数只能设为当前 ruid/euid/suid 中的值
int setresuid(uid_t ruid, uid_t euid, uid_t suid);

// 典型用法（sudo 等工具）：
// 1. 临时提升到 root → setresuid(-1, 0, -1)
// 2. 完成操作后降级 → setresuid(target_uid, target_uid, target_uid)

// 内核源码：fs/namei.c（简化版）
static int acl_permission_check(struct inode *inode, int mask)
{
    unsigned int mode = inode->i_mode;

    // 1. Root 特权检查
    if (uid_eq(current_fsuid(), GLOBAL_ROOT_UID))
        return capable(CAP_DAC_OVERRIDE) ? 0 : -EACCES;
    // 如果 fsuid==0 且有 CAP_DAC_OVERRIDE → 直接放行

    // 2. User 匹配：进程 fsuid == 文件 uid
    if (uid_eq(current_fsuid(), inode->i_uid)) {
        mode >>= 6;  // 取 owner 权限位
        goto check;
    }

    // 3. ACL 检查（如果存在）
    if (IS_POSIXACL(inode)) {
        int error = posix_acl_permission(inode, current_fsuid(), mask);
        if (error != -EAGAIN)
            return error;  // ACL 明确允许或拒绝
    }

    // 4. Group 匹配：进程属于文件 gid 所在组
    if (in_group_p(inode->i_gid)) {
        mode >>= 3;  // 取 group 权限位
        goto check;
    }

    // 5. Other：以上都不匹配
    // mode 保持为 other 权限位

check:
    // 检查 mask 要求的权限是否在 mode 中
    if ((mask & ~mode & (MAY_READ|MAY_WRITE|MAY_EXEC)) == 0)
        return 0;  // 权限足够
    return -EACCES;
}

// 完整的文件访问检查流程（简化）
int do_file_open(const char *pathname, int flags) {
    struct inode *inode;

    // 步骤 1：DAC 检查
    int error = inode_permission(inode, acc_mode);
    if (error)
        return error;  // DAC 拒绝 → 直接返回，MAC 不执行

    // 步骤 2：MAC 检查（LSM Hook）
    error = security_inode_permission(inode, acc_mode);
    if (error)
        return error;  // SELinux/AppArmor 拒绝

    // 步骤 3：执行实际操作
    return do_actual_open(inode, flags);
}

# 查看 ACL
getfacl report.txt

# 输出示例：
# file: report.txt
# owner: alice
# group: devteam
user::rw-           # 所有者 ACL（对应 UGO 的 User）
user:bob:r--        # 指定用户 ACL
user:carol:---      # 指定用户 ACL
group::r--          # 所属组 ACL（对应 UGO 的 Group）
group:auditors:r--  # 指定组 ACL
mask::r--           # ACL Mask（有效权限上限）
other::---          # 其他人 ACL（对应 UGO 的 Other）

# 设置 ACL
setfacl -m u:bob:rwx report.txt

# 查看
getfacl report.txt
# user:bob:rwx
# mask::r--        ← Mask 只有 r--
#
# 实际有效权限：bob 只有 r--（被 mask 限制）
# 显示为：user:bob:rwx  #effective:r--

# 原理：
# 指定用户/组的 实际权限 = 设置的权限 ∩ Mask
# rwx ∩ r-- = r--  → bob 实际只有读权限

# 更新 Mask
setfacl -m mask::rwx report.txt
# bob 现在有完整的 rwx 了

# 设置 Default ACL
setfacl -m d:u:bob:r-- /shared/project
setfacl -m d:g:devteam:rwx /shared/project

# 查看
getfacl /shared/project
# user::rwx
# group::r-x
# other::---
# default:user::rwx
# default:user:bob:r--
# default:group::r-x
# default:group:devteam:rwx
# default:mask::rwx
# default:other::---

# 新建文件自动继承
touch /shared/project/newfile.txt
getfacl /shared/project/newfile.txt
# user::rw-
# user:bob:r--        ← 自动继承
# group::r-x          ← 自动继承
# group:devteam:rwx   ← 自动继承

# ========== getfacl：查看 ACL ==========
getfacl file.txt                    # 查看单个文件
getfacl -R /shared/project/         # 递归查看目录
getfacl -t file.txt                 # 表格形式输出
getfacl -c file.txt                 # 简洁模式（不显示注释）
getfacl --omit-header file.txt      # 不显示头部

# ========== setfacl：设置 ACL ==========
# 基本语法：setfacl -m <条目> <文件>

# 添加用户权限
setfacl -m u:bob:rw- report.txt     # bob 读写
setfacl -m u:carol:r-- report.txt   # carol 只读

# 添加组权限
setfacl -m g:auditors:r-- report.txt

# 修改权限
setfacl -m u:bob:rwx report.txt     # 修改 bob 的权限

# 设置 Mask
setfacl -m mask::rwx report.txt

# 删除 ACL 条目
setfacl -x u:bob report.txt         # 删除 bob 的条目
setfacl -x g:auditors report.txt    # 删除 auditors 组的条目

# 删除所有 ACL
setfacl -b report.txt               # 删除所有扩展 ACL
setfacl -k /shared/project/         # 删除所有 Default ACL

# 递归操作
setfacl -R -m u:bob:r-- /shared/    # 递归设置

# 从文件读取 ACL
getfacl source.txt | setfacl --set-file=- target.txt  # 复制 ACL

# 查看权限
ls -l file.txt              # 详细列表
ls -ld /etc                 # 目录本身而非内容
stat file.txt               # 更详细的信息（含八进制权限）

# 修改权限
chmod 755 script.sh         # 八进制
chmod u+x,g+w,o-r file.txt  # 符号模式
chmod -R 755 /var/www/      # 递归修改

# 修改所有者和组
chown alice file.txt                    # 改所有者
chown alice:devteam file.txt            # 改所有者和组
chown :devteam file.txt                 # 仅改组
chgrp devteam file.txt                  # 改组
chown -R alice:devteam /var/www/        # 递归

# 查看用户和组信息
id alice                    # 用户 UID 和所属组
groups alice                # 用户的所有组
getent passwd alice         # passwd 条目
getent group devteam        # group 条目

# 查找特殊权限文件
find / -perm -4000 -type f 2>/dev/null    # SUID
find / -perm -2000 -type f 2>/dev/null    # SGID
find / -perm -1000 -type d 2>/dev/null    # Sticky Bit
find / -perm -6000 -type f 2>/dev/null    # SUID + SGID

# 设置
chmod u+s /usr/bin/myapp    # SUID
chmod g+s /shared/dir       # SGID
chmod +t /shared/scratch    # Sticky Bit

# 移除
chmod u-s /usr/bin/myapp    # 移除 SUID
chmod g-s /shared/dir       # 移除 SGID
chmod -t /shared/scratch    # 移除 Sticky Bit

# 查看
getfacl file.txt

# 设置
setfacl -m u:alice:rw file.txt
setfacl -m g:devteam:r file.txt
setfacl -m d:u:bob:r /shared/   # Default ACL

# 删除
setfacl -x u:alice file.txt     # 删除条目
setfacl -b file.txt             # 删除所有扩展 ACL

# 批量备份和恢复
getfacl -R /important/ > acl_backup.txt
setfacl --restore=acl_backup.txt

# 模拟权限检查
namei -l /path/to/file
# 输出每一级目录的权限

# 测试文件是否可读/可写/可执行
test -r /path/to/file && echo "readable"
test -w /path/to/file && echo "writable"
test -x /path/to/file && echo "executable"

# 以特定用户身份测试
sudo -u alice test -r /path/to/file && echo "alice can read"
sudo -u alice cat /path/to/file

# 查看进程的实际身份
ps -eo pid,user,group,comm
cat /proc/$$/status | grep -E "^Uid|^Gid"

# 审计文件权限问题
find /home -type f -perm 0777     # 查找权限过宽的文件
find / -nouser -o -nogroup        # 查找无主文件
find / -perm -4000 -type f -ls    # 审计 SUID 文件

# ✅ 最小权限原则
chmod 600 secret.key          # 只有所有者可读写
chmod 750 ~/scripts/           # 所有者 rwx，组 rx，其他人无权限
chmod 640 /etc/app/config.yml  # 所有者 rw，组 r，其他人无

# ✅ 使用组而非单独授权
groupadd devteam
usermod -aG devteam alice bob carol
chgrp devteam /shared/project
chmod 770 /shared/project

# ✅ 需要单独授权时使用 ACL
setfacl -m u:contractor:r-- /shared/project/report.txt

# ❌ 永远不要这样做
chmod 777 important_data/         # 所有人可读写！
chmod -R 777 /var/www/            # Web 目录 777！
chmod u+s /bin/bash               # Shell 的 SUID！

# 1. 检查全局可写目录
find / -type d -perm -002 -not -perm -1000 2>/dev/null

# 2. 检查无主文件
find / -nouser -o -nogroup 2>/dev/null

# 3. 审计 SUID/SGID 文件
find / -perm -6000 -type f 2>/dev/null > suid_audit.txt

# 4. 检查用户家目录权限
find /home -maxdepth 1 -type d -perm /027

# 5. 检查 SSH 相关文件的权限
ls -l /etc/ssh/ssh_host_*_key   # 应为 600
ls -l ~/.ssh/id_*               # 应为 600
ls -l ~/.ssh/authorized_keys    # 应为 600

# 6. 定期审查 ACL
getcap -r / 2>/dev/null > caps_audit.txt
getfacl -R /etc /var 2>/dev/null | grep -E "^user:|^group:" | sort -u

# Web 服务器目录
chmod 755 /var/www/                        # 目录
chmod 644 /var/www/*.html                  # 静态文件
chmod 640 /var/www/app/config.php          # 配置文件

# 用户家目录
chmod 700 /home/alice                      # 或 750
chmod 600 /home/alice/.ssh/id_rsa          # 私钥
chmod 644 /home/alice/.ssh/id_rsa.pub      # 公钥
chmod 600 /home/alice/.ssh/authorized_keys

# 共享项目目录
chmod 2770 /shared/project                 # SGID + 组权限
setfacl -m d:g:devteam:rwx /shared/project # 默认 ACL