0


【Linux】权限管理

文章目录

一、shell命令及其运行原理

Linux严格意义上说的是一个操作系统,我们称之为“核心(kernel)“ ,但我们一般用户,不能直接使用kernel。

而是通过kernel的“外壳”程序,也就是所谓的shell,来与kernel沟通。如何理解?为什么不能直接使用kernel?

从技术角度,Shell的最简单定义:命令行解释器(command Interpreter)主要包含:

  • 将使用者的命令翻译给核心(kernel)处理
  • 将核心的处理结果翻译给使用者

对比windows GUI,我们操作windows 不是直接操作windows内核,而是通过图形接口,点击,从而完成我们的

操作(比如进入D盘的操作,我们通常是双击D盘盘符.或者运行起来一个应用程序)

shell对于Linux,有相同的作用,主要是对我们的指令进行解析,解析指令给Linux内核。反馈结果在通过内核运

行出结果,通过shell解析给用户

此外,shell还在变相的保护操作系统:shell会对用户传递的指令进行解析,如果它解析到非法的指令时,那么此时它会直接抛出错误,并不会将错误指令传递给kernel,这样使得kernel只能接收合法的指令,一定程度上保护 了操作系统,为了防止用户非法指令 导致shell自身崩溃,shall本身一般不会去执行对应的指令,而是会派生子进程来执行用户的指令

所以shell和GUI一样,本质上都是kernel外面的一层软件层(外壳程序),用于连接用户与kernel,为了我们更好的理解,我们可以再看看下面的例子,来帮助我们对其进行理解:

假如你是一个内向的程序员,那shell就像媒婆,操作系统内核就是你们村头漂亮的且有让你心动的如花。你看上了如花,但是又不好意思直接表白,那就让你你家人找媒婆帮你提亲,所有的事情你都直接跟媒婆通,由媒婆转达你的意思给如花,但是小花觉得你们不合适,所以拒绝了你的请求,但是你是一个深情且专一的人,又多次找到媒婆想让她多帮你说一说,可是媒婆到如花家发现如花已经有了男朋友,心里已经知道你们已经不可能了,尽管是这样你依然不想放弃,继续劝说媒婆去说,媒婆看这事不说不行,但是继续去说基本上也不会有结果,而且还会坏了自己的口杯,所以媒婆想了个注意,在家招募说媒的人,让他们替媒婆完成任务,这样即使失败了也不会坏了自己的口杯。

上诉中如花就是kernel,媒婆就是shell,你就是用户,shell作为你和如花交互的媒介,对于你后面无理的请求王婆拒绝就是shell不执行用户非法指令,变相保护如花(操作系统),媒婆派遣徒弟而不是直接去就是shell为了防止直接崩溃,所以派生子进程去执行

shell是外壳程序的总称,不同的系统对于的shell程序可能不同,其中bash是标准的GNUshell,所以它称为Linux发行版上的标准shell,上诉例子中媒婆就是shell,假如王婆是一个媒婆,她就可以称为bash

二、Linux权限的概念

1.用户分类

Linux下有两种用户:超级用户(root)、普通用户

  • 超级用户:可以再linux系统下做任何事情,不受限制
  • 普通用户:在linux下做有限的事情
  • 超级用户的命令提示符是“#”,普通用户的命令提示符是“$"

2.切换用户指令—su

命令:su [用户名]

功能:切换用户

在Linux中,要从root用户切换到普通用户user,则使用 su username

在这里插入图片描述

如果我们要从普通用户user切换到root用户则使用 su root(root可以省略),此时系统会提示输入root用户的口令

其中,普通用户切换到root用户有两种方式:

  • su:切换到root的当前目录
  • su -:切换到root的根目录

1.su:切换到当前路径

在这里插入图片描述

2.su -:切换到root根目录

在这里插入图片描述

3.用户提权

当我们使用Linux的时候,当前有指令需要拥有超级用户的权限才能执行,但是我们不想切换用户或者无法切换的时候,而是想让普通用户以root用户的身份去执行该指令,sudo 指令可以满足我们的需求:只需要在正常指令前加sudo即可

使用sudo指令让我们用于root用户的权限,按理来说我们应该需要输入root用户的密码,但事实上是需要用户输入自己的密码,此外,我们只要sudo提权的时候可能会显示我们的用户不在sudoers中,sudo失效

对于上面的问题是有sudo的机制造成的,sudo存在的目的是为了给受信任用户提供最少的执行障碍,受信任用户是指被添加到sudoers文件中的用户,说明root是充分的信任我们,所以当我们使用sudo指令提权的时候只需要输入自己的密码即可,此外,sudo是短暂的提权,有效时间大概为15分钟,即当我们使用sudo成功提权之后,15分钟之内我们再次使用sudo提权时我们不再需要输入密码

三、Linux权限管理

1.文件访问者的分类

在Linux在,文件访问者被分为三类:

  • 所有者:文件和文件目录的所有者:u—User(中国平民 法律问题)
  • 所属组:文件和文件目录的所有者所在的组的用户:g—Group
  • 其它用户:o—Others (外国人)

我们对于所有者和其他用户这两个对象我们很容易理解,但是Linux为什么还要有所属组呢?

Linux文件访问者有所属组是为了实现文件访问的权限控制。在Linux中,每个文件/目录都有一个所有者以及一个所属组,文件的访问权限是由所有者、所属组以及其他用户来决定的。当一个用户访问一个文件时,系统会先判断该用户是否为该文件的所有者或所属组成员,如果是则按照相应的权限进行访问,否则按照其他用户权限进行访问。因此,为了实现对文件的有效管理和保护,Linux需要对文件访问者进行分类和授权,这就需要有所属组的概念。

我们以一个简单的例子进行说明:

假如一个公司有两个组的成员,但是只有一台主机,那么此时组内的成员如何实现文件共享呢?如果我把文件设置成为私有,这样显然另外一组的成员看不到我的代码,但是同时我们组的其他成员也看不到我的代码,而如果我把文件设置为公有,此时又有代码泄漏的风险,为了解决这种情况,Linux设计出了所属组的代码,我们可以把多个用户归为一个组,组内成员可以共享这个文件,而组外的成员受权限限制

2.文件类型和访问权限

文件类型

在Linux中一共有七种文件类型:

d:文件夹/目录

-:普通文件(源代码,库文件,可执行程序,文件压缩包等等)

l:软链接(类似Windows的快捷方式)

b:块设备文件(例如硬盘、显示器、光驱等)

p:管道文件

c:字符设备文件(例如屏幕等串口设备)

s:套接口文件

文件后缀与文件类型

Linux中不以文件的后缀名来区分文件的类型,文件的后缀也是文件名的一部分,但是这个并不代表我们不可以使用文件的后缀来区分文件的类型,如果我们要使用文件的后缀来区分文件的类型,仅仅是给用户做一个提示符号来使用,此外,Linux中不以文件的后缀来区分文件的类型,但是并不代表Linux下的各种工具不以文件的后缀区分文件的类型,比如gcc,g++等等

在这里插入图片描述

访问权限

我们在Linux下使用ll查看一个文件/目录的时候,会看到以下的信息:

在这里插入图片描述

他们对应的含义如下:

在这里插入图片描述

我们需要注意的是,第一个字符代表文件的类型,后九个字符三三为一组,分别代表拥有者,所属组,其他人的权限,其中文件的权限一共分为一下三类:

  • 读(r/4):Read对文件而言,具有读取文件内容的权限;对目录来说,具有浏览该目录信息的权限
  • 写(w/2):Write对文件而言,具有修改文件内容的权限;对目录来说具有删除移动目录内文件的权限
  • 执行(x/1):execute对文件而言,具有执行文件的权限;对目录来说,具有进入目录的权限
  • “—”表示不具有该项权限

需要注意的是,权限对应位置的字符为‘-’说明该用户未拥有对应的权限,该用户就不能使用其功能,比如一下的例子:

在这里插入图片描述

四、文件权限值的表示方法

1.字符表示法

在这里插入图片描述

2.八进制数值表示法

文件的权限一共只有三种–读写执行,所以用三个二进制位就可以表示全部情况,如果使用八进制就只需要一位

在这里插入图片描述

五、文件访问权限的相关设置方法

1.chmod 指令

格式:chmod [参数] 权限 文件名

功能:设置文件的访问权限

常用选项:

R -> 递归修改目录文件的权限

注意:只有文件的拥有者和root才可以改变文件的权限

chmod命令权限值的格式

(1) 用户表示符+/-=权限字符

用户符号:

u:拥有者

g:拥有者同组用

o:其它用户

a:所有用户

±=的含义:

+:向权限范围增加权限代号所表示的权限

-:向权限范围取消权限代号所表示的权限

=:向权限范围赋予权限代号所表示的权限

指令演示

1.对单个用户加减权限

在这里插入图片描述

2.对多个用户±权限

在这里插入图片描述

【注意】当该用户已经拥有该权限的时候继续加上给权限,不会有任何影响,没有该权限的时候减去该权限同理

(2)三位8进制数字

八进制表示法上面我们已经结束,这里不再赘述:

指令演示:

在这里插入图片描述

2.chown 指令

格式:chown [参数] 用户名 文件名

功能:修改文件的拥有者

常用选项

-R 处理指定目录及其子目录下的所有文件

【注意】当我们使用chown指令将属于我们的文件给别人的时候,需要征得别人的同意,所以在一般情况下我们是不能改变文件的拥有者的,只有root不受权限的约束,可以直接将属于A的文件给B,而不需要征得别人的同意

指令演示

1.普通用户

在这里插入图片描述

使用sudo提权:

在这里插入图片描述

2.root用户

在这里插入图片描述

3.chgrp 指令

格式:chgrp [参数] 用户组名 文件名

功能:修改文件或目录的所属组

常用选项

-R 递归修改文件或目录的所属组

【注意】

和修改文件一样,我们也不能直接修改文件的属性组,需要征得别人的同意,而root不受约束

指令演示

1.普通用户

在这里插入图片描述

2.root用户

在这里插入图片描述

4.umask 指令

在Linux下新建文件夹默认权限=0666 ,新建目录默认权限=0777,其中第一位数字代表这是三位八进制数,后面三位数字分别代表拥有者,所属组,其他用户对文件的权限 但实际上你所创建的文件和目录,看到的权限往往不是上面这个值。

在这里插入图片描述

原因就是创建文件或目录的时候还要受到umask的影响。假设默认权限是mask,则实际创建的出来的文件权限是: mask & ~umask

权限的掩码的作用:凡是在umask中出现的权限都必须在起始权限中去掉,因为一个权限在umask中为1,那么按位取反后再与默认权限按位与得到的结果一定为0,如果umask为0,则其按位取反得到后与默认权限按位与后不影响权限的值

格式:umask 权限值

功能:查看或修改文件掩码

说明:将现有的存取权限减去权限掩码后,即可产生建立文件时预设权限。超级用户默认掩码值为0022,普通用

户默认为0002

指令演示

1.查看文件掩码

在这里插入图片描述

2.修改文件掩码

在这里插入图片描述

我们可以看到,当我们把文件的掩码设置为000后,此时文件的最终权限就是文件的默认权限

5.file 指令

语法:fifile [选项] 文件或目录…

功能说明:辨识文件类型

常用选项

-c 详细显示指令执行过程,便于排错或分析程序执行的情形

-z 尝试去解读压缩文件的内容

指令演示

在这里插入图片描述

六、目录的权限

目录的权限分为以下三种:

可执行权限: 能否进入目录–如果目录没有可执行权限, 则无法cd到目录中

在这里插入图片描述

可读权限: 能否查看目录中的文件内容–如果目录没有可读权限, 则无法用ls等命令查看目录中的文件内容

在这里插入图片描述

可写权限: 能否在目录中创建与删除文件–如果目录没有可写权限, 则无法在目录中创建文件, 也无法在目录中删除文件

在这里插入图片描述

由此可见,如果我们要进入一个目录,就必须要有可执行权限,这也就是为什么普通文件的默认权限是666,而目录文件的默认权限是777

【注意】

目录的可执行权限是表示我们是否可在目录下执行命令。如果目录没有可执行权限,则无法对目录执行任何命令,甚至无法cd进入目录,即使目录具有可读的权限,这个非常重要,因为我们很容易觉得只要有了读的权限就能够进入目录,其实不是这样的,这一点需要特别注意;如果目录具有可执行的权限,但是没有读的权限,那么用户可以指向命令,比如进入目录,在目录下创建文件,但是不能由于没有写的权限,即使是我们自己写的文件,我们写了之后也不能够进行查看

七、粘滞位

Linux系统中有很多用户,那么有时我们可能很多人就需要在一个公共的目录下,进行临时文件的操作(增删查改),这个公共目录通常是由root用户创建的,然后将目录的权限修改为7,使得我们都能够在这个公共目录下进行一系列的操作:

在这里插入图片描述

但是这里有一个问题,由于公共目录的权限是777,所以任何一个用户都可以删除该目录下的文件(这里不排除别人因为想看你文件的内容,但是由于文件的权限使得他看不见而选择直接把文件删除),无论这个文件是否属于自己,如下:

在这里插入图片描述

我们可以看到,对于hdp来说,file3这个文件是不可读不可写且不可执行的,hdp也确实不能对他进行这些操作,但是hdp却能够直接删除file3.txt,这个文件,这是因为file3.txt这个文件是在public_dir这个公共目录之下,而这个目录对hdp是可读可写可执行的,所以hdp理应能够删除file3.txt这个文件,但是我们思考一下,对于这种别人的文件,我们能够随意删除,是否是不合理呢,答案是的,为了解决这个问题,Linux提出了粘滞位来解决这个问题;

粘滞位是权限的一种特殊情况,它不影响不同用户在公共目录下进行的各种合理的操作,但是它可以禁止不同的用户之间互删文件,粘滞位的设置十分简单,只需要在已有的权限的基础上加上t即可,并且添加时不用指定用户,Linux会自动识别:

在这里插入图片描述

在这里插入图片描述

当一个目录被设置为"粘滞位"(用chmod +t),则该目录下的文件只能由

一、超级管理员删除

二、该目录的所有者删除

三、该文件的所有者删除

八、权限总结

  • 目录的可执行权限是表示你可否在目录下执行命令
  • 如果目录没有-x权限,则无法对目录执行任何命令,甚至无法cd 进入目, 即使目录仍然有-r 读权限(这个地方很容易犯错,认为有读权限就可以进入目录读取目录下的文件)
  • 而如果目录具有-x权限,但没有-r权限,则用户可以执行命令,可以cd进入目录。但由于没有目录的读权限
  • 所以在目录下,即使可以执行ls命令,但仍然没有权限读出目录下的文档
标签: linux 服务器 运维

本文转载自: https://blog.csdn.net/qq_67582098/article/details/130394182
版权归原作者 椿融雪 所有, 如有侵权,请联系我们删除。

“【Linux】权限管理”的评论:

还没有评论