第7讲：用户管理与文件权限

# 查看当前用户信息
id

# 输出示例：
# uid=1000(fire) gid=1000(fire) groups=1000(fire),27(sudo),1001(developers)

# 查看指定用户信息
id username

# 查看当前用户所属组
groups

# 查看指定用户所属组
groups username

输入用户名+密码 -> 1. 去 /etc/passwd 找用户名对应的UID
                  -> 2. 去 /etc/group 找用户对应的GID
                  -> 3. 验证通过 -> 去 /etc/shadow 核对加密密码
                  -> 4. 密码匹配 -> 登录成功

fire:x:1000:1000:fire,,,:/home/fire:/bin/bash
│    │  │    │   │       │         │
①用户名 ②密码③UID ④GID ⑤注释 ⑥家目录  ⑦登录Shell

fire:$6$xxxx...:18765:0:99999:7:14::
│        │         │    │ │     │ │  │
①      ②          ③    ④ ⑤     ⑥ ⑦  ⑧⑨

fire:x:1000:                 # 组内无其他成员（组名=用户名时不显示）
sudo:x:27:fire              # fire用户属于sudo组
│    │  │    │
①组名 ②密码 ③GID ④组成员列表

useradd [选项] 用户名

# 创建开发组
groupadd developers

# 创建普通开发用户（带家目录、bash shell、加入开发组和sudo组）
useradd -m -s /bin/bash -g developers -G sudo -c "李四,研发部" lisi

# 创建无家目录的临时用户
useradd -M -s /sbin/nologin -e 2026-08-01 temp

usermod [选项] 用户名

# 错误：会覆盖掉原有的附加组！
usermod -G docker username

# 正确：追加docker到已有的附加组列表
usermod -aG docker username

userdel [选项] 用户名

# 仅删除用户账户，保留家目录数据
userdel username

# 删除用户并清理家目录（推荐：彻底清理）
userdel -r username

passwd [选项] [用户名]

# 查看用户密码状态
passwd -S fire
# 输出示例：fire P 07/20/2026 0 99999 7 14
#          │     │    │          │   │   │   └-- 宽限天数
#          │     │    │          │   │   └------ 警告天数
#          │     │    │          │   └---------- 最大有效期
#          │     │    │          └-------------- 最小修改间隔
#          │     │    └------------------------- 最后修改日期
#          │     └------------------------------ P=有密码 L=锁定 NP=无密码
#          └------------------------------------ 用户名

# 锁定用户
passwd -l fire

# 解锁用户
passwd -u fire

# 强制用户下次登录修改密码
passwd -e fire

- rwx r-x r--
│ │   │   └── Other（其他用户）：r-- 只读
│ │   └────── Group（同组用户）：r-x 读+执行
│ └────────── Owner（文件所有者）：rwx 读+写+执行
└──────────── 文件类型（-=普通文件，d=目录，l=链接...）

rwx = 4+2+1 = 7
r-x = 4+0+1 = 5
r-- = 4+0+0 = 4
-w- = 0+2+0 = 2
--x = 0+0+1 = 1
--- = 0+0+0 = 0

所以 rwxr-xr-- = 754

# 目录只有r权限：可以ls但无法cd进去
dr-------- 2 user group 4096 Jul 22 10:00 mydir

# 目录只有x权限：可以cd进去但无法ls查看内容
d--x------ 2 user group 4096 Jul 22 10:00 mydir

# 目录正常权限：rwx组合
drwx------ 2 user group 4096 Jul 22 10:00 mydir

# 公共目录（任何人都可以进入和查看，但不能删除他人的文件 -> 需要Sticky Bit）
drwxrwxrwt 2 user group 4096 Jul 22 10:00 shared

chmod 754 filename

# 7 = Owner:   rwx (4+2+1)
# 5 = Group:   r-x (4+0+1)
# 4 = Other:   r-- (4+0+0)

# 给所有者添加执行权限
chmod u+x script.sh          # 结果：-rwxr--r--

# 给组和其他人添加读权限
chmod go+r file.txt          # 结果：-rw-r--r--

# 移除组的写权限
chmod g-w file.txt           # 结果：-rw-r--r--

# 取消其他人的全部权限
chmod o-rwx secret.txt       # 结果：-rw-r-----

# 同时设置多组权限
chmod u+rwx,g+rx,o= file.sh # 结果：-rwxr-x---

# 给所有人添加执行权限
chmod a+x script.sh           # 等同于 chmod ugo+x script.sh

# 批量设置为 755
chmod u=rwx,g=rx,o=rx file   # 结果：-rwxr-xr-x

# 递归修改目录下所有文件权限
chmod -R 755 /path/to/dir/

chown [选项] [所有者][:组] 文件...

# 修改文件所有者
chown alice file.txt

# 同时修改所有者和组（user:group 或 user.group）
chown alice:developers file.txt
chown alice.developers file.txt

# 只修改所属组（保留原所有者）
chown :developers file.txt
chown .developers file.txt

# 递归修改目录及所有子文件的所有者
chown -R alice:developers /home/alice/project/

# 查看修改前后对比
ls -l file.txt
# -rw-r--r-- 1 root root  1024 Jul 22 10:00 file.txt  # 修改前
chown alice:developers file.txt
ls -l file.txt
# -rw-r--r-- 1 alice developers 1024 Jul 22 10:00 file.txt  # 修改后

# 修改文件所属组
chgrp developers file.txt

# 递归修改
chgrp -R developers /path/to/dir/

# 设置 SUID
chmod u+s /usr/bin/passwd
# 或使用数字模式（4在前）
chmod 4755 /usr/bin/passwd

# 权限显示：s 替代了 Owner 的 x 位
ls -l /usr/bin/passwd
# -rwsr-xr-x 1 root root 68208 Jul 22 10:00 /usr/bin/passwd
#   ↑ 这里的 s 表示 SUID + 执行权限
#   如果显示为 S（大写），表示 SUID 但没有执行权限

# 设置 SGID
chmod g+s /shared/project/
# 或使用数字模式（2在前）
chmod 2775 /shared/project/

# 权限显示：s 替代了 Group 的 x 位
ls -ld /shared/project/
# drwxrwsr-x 2 root developers 4096 Jul 22 10:00 /shared/project/
#       ↑ 这里的 s 表示 SGID + 执行权限

# 设置 Sticky Bit
chmod +t /tmp
# 或使用数字模式（1在前）
chmod 1777 /tmp

# 权限显示：t 替代了 Other 的 x 位
ls -ld /tmp
# drwxrwxrwt 12 root root 4096 Jul 22 10:00 /tmp
#         ↑ 这里的 t 表示 Sticky Bit + 执行权限
#         如果显示为 T（大写），表示 Sticky Bit 但没有执行权限

新文件的默认权限 = 0666 - umask
新目录的默认权限 = 0777 - umask

# 查看当前 umask
umask
# 输出：0022（第一位0表示八进制数，有效值为022）

# 临时修改 umask（仅当前shell生效）
umask 027

# 永久修改：写入 ~/.bashrc 或 /etc/profile
echo "umask 027" >> ~/.bashrc

# 验证效果
umask 077
touch test_file
mkdir test_dir
ls -l
# -rw------- 1 user group 0 Jul 22 10:00 test_file    # 666-077=600
# drwx------ 2 user group 4096 Jul 22 10:00 test_dir  # 777-077=700

# 确认文件系统支持ACL（多数现代Linux发行版默认支持）
# 检查 /etc/fstab 中是否有 acl 挂载选项
grep acl /etc/fstab

# 如果未启用，可以在挂载时添加acl选项
# mount -o remount,acl /dev/sda1 /

# 安装ACL工具（如果未安装）
# Debian/Ubuntu:
sudo apt install acl

# RHEL/CentOS:
sudo yum install acl

# 查看文件的ACL信息
getfacl file.txt

# 输出示例：
# # file: file.txt
# # owner: alice
# # group: developers
# user::rw-          # 所有者权限（空用户名表示文件所有者）
# user:bob:r--       # bob用户的额外读权限
# group::r--         # 所属组权限
# group:managers:rw- # managers组的额外读写权限
# mask::rw-          # 权限掩码（ACL的最大有效权限）
# other::---         # 其他人权限

setfacl [选项] 规则 文件名

u:用户名:权限    # 为用户设置权限
g:组名:权限      # 为组设置权限
m:权限          # 修改mask（掩码）
o:权限          # 修改other权限

# 给用户 bob 添加读写权限
setfacl -m u:bob:rw- file.txt

# 给 managers 组添加读和执行权限
setfacl -m g:managers:r-x file.txt

# 给多个用户设置权限
setfacl -m u:alice:rwx,u:bob:r--,u:charlie:--- file.txt

# 删除用户 bob 的ACL规则
setfacl -x u:bob file.txt

# 删除所有ACL规则
setfacl -b file.txt

# 设置目录的默认ACL（目录内新创建的文件自动继承）
setfacl -m d:u:bob:rwx /shared/project/
setfacl -m d:g:developers:rwx /shared/project/

# 递归设置
setfacl -R -m u:bob:rwx /shared/project/

ls -l file.txt
# -rw-rwxr--+ 1 alice developers 1024 Jul 22 10:00 file.txt
#          ↑ 这个 + 号表示该文件设置了ACL

# ===== 第一步：以root身份操作 =====
sudo -i

# 创建部门组
groupadd dev
groupadd test
groupadd ops

# 创建共享目录
mkdir -p /shared/{dev,test,ops}

# 设置目录所有权和SGID（部门内新建文件自动继承部门组）
chown :dev /shared/dev
chmod 2770 /shared/dev              # SGID + 组内可读写，其他人无权限

chown :test /shared/test
chmod 2770 /shared/test

chown :ops /shared/ops
chmod 2770 /shared/ops

# ===== 第二步：创建部门员工 =====

# 研发部员工：张三（主组dev，附加组无）
useradd -m -s /bin/bash -g dev -c "张三,研发部" zhangsan
echo "zhangsan:Pass1234" | chpasswd

# 研发部员工：李四（主组dev）
useradd -m -s /bin/bash -g dev -c "李四,研发部" lisi
echo "lisi:Pass1234" | chpasswd

# 测试部员工：王五（主组test）
useradd -m -s /bin/bash -g test -c "王五,测试部" wangwu
echo "wangwu:Pass1234" | chpasswd

# 运维部员工：赵六（主组ops）
useradd -m -s /bin/bash -g ops -c "赵六,运维部" zhaoliu
echo "zhaoliu:Pass1234" | chpasswd

# 部门经理：需要跨部门访问（主组dev，附加组test和ops）
useradd -m -s /bin/bash -g dev -G test,ops -c "部门经理" manager
echo "manager:Pass1234" | chpasswd

# ===== 第三步：设置密码策略 =====

# 设置密码90天过期
passwd -x 90 zhangsan
passwd -x 90 lisi
passwd -x 90 wangwu
passwd -x 90 zhaoliu

# 强制所有用户下次登录修改密码
passwd -e zhangsan
passwd -e lisi
passwd -e wangwu
passwd -e zhaoliu

# 设置umask确保新建文件安全
echo "umask 027" >> /home/zhangsan/.bashrc
echo "umask 027" >> /home/lisi/.bashrc
echo "umask 027" >> /home/wangwu/.bashrc
echo "umask 027" >> /home/zhaoliu/.bashrc

# ===== 第四步：测试权限 =====

# 切换到张三
su - zhangsan

# 在研发目录创建文件
cd /shared/dev
touch dev_report.txt
echo "研发进度报告" > dev_report.txt

# 验证权限
ls -l dev_report.txt
# -rw-r----- 1 zhangsan dev 22 Jul 22 10:00 dev_report.txt
# 说明：umask 027 生效，文件权限为 640

# 尝试访问测试部目录（应该被拒绝）
ls /shared/test/
# ls: cannot open directory '/shared/test/': Permission denied  # 正确：无权访问

# 退出张三，切换到李四
exit
su - lisi

# 李四可以访问研发部共享目录
cd /shared/dev
cat dev_report.txt
# 研发进度报告    # 成功：同组有读权限

# 退出李四，切换到经理
exit
su - manager

# 经理可以访问所有部门目录（因为附加组包含了test和ops）
ls /shared/dev/     # 成功
ls /shared/test/    # 成功
ls /shared/ops/     # 成功

# ===== 第五步：使用ACL实现更精细的控制 =====

# 在研发目录上，给经理添加完全控制权
sudo setfacl -m u:manager:rwx /shared/dev/

# 在测试目录上，给经理添加只读权限
sudo setfacl -m u:manager:r-x /shared/test/

# 查看ACL设置
getfacl /shared/dev/

# ===== 第六步：清理（删除测试用户） =====

# 删除所有测试用户
userdel -r zhangsan
userdel -r lisi
userdel -r wangwu
userdel -r zhaoliu
userdel -r manager

# 删除测试组
groupdel dev
groupdel test
groupdel ops

# 删除测试目录
rm -rf /shared/{dev,test,ops}

# 查看当前登录用户
whoami

# 查看当前用户的UID、GID和所有组
id
id username

# 查看用户所属组
groups
groups username

# 查看所有用户列表
cat /etc/passwd
getent passwd

# 查看所有组列表
cat /etc/group
getent group

# 查看当前有哪些用户登录
who
w

# 查看最近登录记录
last
last username

# 查看文件详细信息（含权限、所有者、组）
ls -l filename
stat filename          # 更详细的信息

# 查看目录权限
ls -ld directory/

# 查看文件的ACL
getfacl filename

# 查看当前umask
umask

用户管理 ─── 基础 ───→ 文件权限
  │                       │
  ├── UID（用户ID）       ├── Owner权限（文件所有者）
  ├── GID（组ID）         ├── Group权限（同组成员）
  ├── /etc/passwd         ├── Other权限（其他用户）
  ├── /etc/shadow         ├── SUID/SGID/Sticky Bit（特殊权限）
  ├── /etc/group          ├── ACL（访问控制列表：细粒度权限）
  └── umask               └── chmod/chown/chgrp（权限修改命令）