文件的存取權限—模式位疑難詳解
2024-07-26 00:31:31
供稿：網(wǎng)友
一、前言
========
本文主要說明linux下普通文件及目錄的存取權限設置。本文是為稍具基礎的初學者寫的(我也是beginner)，如
果您能夠理解如下幾行'ls -l'命令的輸出含義(注意下面標注^的位)，那您就沒有必要讀本文了——別浪費時
間看對你沒用的東西，時間是最寶貴的！
-r-sr-xr-x 1 root bin 26975 Jun 24 1999 01:32 /usr/bin/passwd-----------1.1
^
-rwxrwSr-x 1 zyd zyd 12506 Oct 29 10:27 test_euid-----------------------1.2
^
drwxrwxrwt 5 root root 1024 Nov 1 17:17 01;34 /tmp----------------------1.3
^^^^ ^ ^
-rwxr-xr-x 2 zyd zyd 32506 Oct 19 10:20 hard_link-----------------------1.4
^
lrwxr-xr-x 1 zyd zyd 1 Oct 23 10:40 sym_link->/tmp/sym_target-----------1.5
^ ^^^^^^^^^^^^^^^
二、'ls -l'命令輸出格式簡介
===========================
'ls -l'命令以長格式顯示文件列表，其各字段含義如下：
lrwxr-xr-x 1 zyd users 15 Oct 23 10:40 sym_link->/tmp/sym_target
_________ ___ _____ ____________ ________ _______________
| | | | | | | | |
| | | | | | | | +--符號連接(s_link)
| | | | | | | |
| | | | | | | +-----文件名(name)
| | | | | | |
| | | | | | +----文件最后更改時間(time)
| | | | | |
| | | | | +------------以字節(jié)計的文件長度(size)
| | | | |
| | | | +----------文件屬組(group)
| | | |
| | | +--------------------文件屬主(user)
| | |
| | +-------連接數(shù)位(count)
| |
| +-------文件模式位(mode),占9位
|
+------------文件類型位(type),占一位
以上9個字段中除了s_link外，其他字段對不同文件和目錄都應該有。其中user、group、time和name的含義自
明，本文就不再介紹，其它字段將分專題小節(jié)在本文介紹。
三、文件類型(type)
Linux支持的文件類型主要包括一下7類，箭頭右面的字符就是相應的文件類型位標志：
1、普通文件========>-
2、目錄文件========>d
3、符號連接========>l
4、字符設備文件====>c
5、塊設備文件======>b
6、命名管道FIFO
7、套接口socket
其中FIFO和socket超出了本文的范疇，不做介紹。其它文件簡單解釋如下：
1、普通文件：就是普通文件(廢話！)，你用'vi myfile'建立的myfile就是普通文件，比如可執(zhí)行二進制代碼
文件、script腳本文件、ASCII文本文件、數(shù)據(jù)文件、配置文件......就解釋到這樣行嗎？
2、目錄文件：目錄可以理解成放其它文件和/或其它目錄的容器，是一種特殊文件，其內(nèi)容由目錄項組成，每個
目錄項主要包括兩部分內(nèi)容：文件名name和索引節(jié)點號inode，兩者和起來稱為連接，我們將在下小節(jié)對inode
進行更詳細的介紹。
3、設備文件：不知道諸位是否有使用DOS的經(jīng)驗，如果我們的機器只有三個DOS系統(tǒng)文件IO.SYS, MSDOS.SYS,
COMMAND.COM，而你需要編輯一份英文文檔，日后再通過打印機輸出，你能怎么辦？
COPY CON MYDOC.TXT
?。辉诖溯斎胛臋n內(nèi)容
^+D?。唤Y(jié)束存盤
COPY MYDOC.TXT > PRN ；打印文檔
如果你熟悉這個過程，那你就已經(jīng)理解設備文件了。以上的CON和PRN分別是DOS定義的兩個設備文件，分別對應
終端和并行打印口。這種設計使我們不必了解設備使用的具體硬件細節(jié)，按使用普通文件相同的方法來使用外部
設備。
Linux下的設備文件分為三大類：字符設備、塊設備和網(wǎng)絡設備，要想準確區(qū)別它們可能需要單獨寫一篇更臭更
長的文章，大致情況是：字符設備是直接讀取的，不使用緩沖區(qū)，象串行口、終端等；而塊設備都是通過緩沖區(qū)
進行讀取的，并且每次只能讀取一定數(shù)量的塊，比如磁盤每次至少要讀取一個扇區(qū)(如512字節(jié))，塊設備可以實
現(xiàn)隨機讀寫；網(wǎng)絡設備即前面提到的socket，因為我還不很熟悉，就不亂說了。設備文件一般都保存在/dev目
錄下，諸位可以用ls -l命令看看都有什么？反正本文的重點在于介紹普通文件和目錄，設備文件不是重點，所
以就只介紹到這里。
四、索引節(jié)點、硬連接和連接計數(shù)
==============================
1、索引節(jié)點inode：
Linux為每個文件分配一個稱為索引節(jié)點的號碼inode，可以將inode簡單理解成一個指針，它永遠指向本文件的
具體存儲位置。系統(tǒng)是通過索引節(jié)點(而不是文件名)來定位每一個文件。例如：
假設我們在硬盤當前目錄下建立了一個名為mytext文本文件，其內(nèi)容只有一行：
This is my file.
當然這行文字一定是存儲在磁盤數(shù)據(jù)區(qū)某個具體位置里(物理上要通過磁頭號、柱面號和扇區(qū)號來描述，在本例
中假設分別是1、20、30)。
假設其inode是262457，那么系統(tǒng)通過一段標準程序，就能將這個inode轉(zhuǎn)換成存放此文件的具體物理地址(1磁
頭、20柱面、30扇區(qū)），最終讀出文件的內(nèi)容：“This is my file.”
所以inode是指向一個文件數(shù)據(jù)區(qū)的指針號碼，一個inode對應著系統(tǒng)中唯一的一片物理數(shù)據(jù)區(qū)，而位于兩個不
同物理數(shù)據(jù)區(qū)的文件必定分別對應著兩個不同的inode號碼。
文件拷貝命令：
# cp /home/zyd/mytext newfile
在當前工作目錄建立了一個新文件newfile，其實際操作主要包括如下三步：
1、在當前目錄中增加一個目錄項，其文件名域填入newfile，并分配了一個新的inode，假設是262456。
2、將原文件(在1磁頭、20柱面、30扇區(qū))的內(nèi)容復制了一份到新的空閑物理塊(假設是1磁頭、20柱面、31扇
區(qū))。
3、填寫一些其他關鍵信息，使系統(tǒng)通過這些信息及inode號碼可以完成物理地址的轉(zhuǎn)換。
所以文件復制要分配新的inode和新的數(shù)據(jù)區(qū)，雖然兩個文件的內(nèi)容是一樣的。
2、硬連接hardlink：
我們實際使用文件時一般是通過文件名來引用的。通過上面的討論，我們知道：1個inode號碼肯定和一片完全
屬于一個文件的數(shù)據(jù)區(qū)一一對應。那么一個文件系統(tǒng)中兩個或更多個不同的文件名能否對應同一個文件呢？答案
是肯定的。我們知道inode號碼是記錄在文件名對應的目錄項中的，我們可以使兩個或多個文件的目錄項具有相
同的inode值，實際上就使它們對應著同一個文件。有幾個目錄項具有相同的inode號，我們就說這個文件有幾
個硬連接(hardlink)，對于普通文件，ls -l命令的連接計數(shù)count域的數(shù)值就是本文件擁有的硬連接數(shù)。硬連
接可以通過ln命令建立，例如：
# ln /home/zyd/mytext hardlink_mytext
就建立了一個新的文件hardlink_mytext，這個文件的inode同樣是262457。建立硬連接實際上只是增加了一個
目錄項，但并復制文件數(shù)據(jù)區(qū)，原文件的數(shù)據(jù)區(qū)由兩個文件共享。這一方面能夠節(jié)約大量磁盤空間，同時可以保
證兩個文件能同步更新。
'ls -il'可以顯示文件的inode(在下面最左邊)：
262456 -rw-rw-r-- 1 zyd zyd 17 Nov 3 14:52 newfile
262457 -rw-rw-r-- 2 zyd zyd 17 Nov 3 14:50 hardlink_mytext
262457 -rw-rw-r-- 2 zyd zyd 17 Nov 3 14:50 mytext
3、連接計數(shù)count：
前面我們介紹了，文件的連接計數(shù)域表明本系統(tǒng)中共有幾個文件目錄項的inode和本文件相同，也就是本文件共
有幾個硬連接。如上面的例子中hardlink_mytext和mytext文件的count值都是2。
那么對于目錄，其count域的含義是什么呢？目錄的count同樣表示共有多少個目錄項指向此目錄，不過要詳細
說明必須進一步解釋VFS文件系統(tǒng)的結(jié)構，為簡單起見，只要這樣理解就行了：(count-2)等于本目錄包含的直
接子目錄數(shù)(就是只包括兒子，不包括孫子啦！)。例如：如果一個目錄/abc的count域為5，那么
/abc目錄一定包含3個子目錄。
至此我們已經(jīng)介紹了普通文件、目錄文件、設備文件、硬連接、連接計數(shù)、索引節(jié)點等非常重要的概念。
4、進一步說明：
硬連接文件實際上并不是一種新的文件類型，兩個文件互為對方的硬連接。它們應該都是普通文件(誰能告訴
我：其它類型的文件可以硬連接嗎？)。兩個文件除了名稱或/和文件目錄不同外，其它部分完全相同，更改了一
個文件，另一個的文件長度、內(nèi)容、更改時間等都將相應發(fā)生變化，更改了一個文件的權限位mode，另一個也會
發(fā)生同樣的變化。
注意連接計數(shù)字段count，互為硬連接的兩個文件的count值都是2，表明有兩個inode指向同一文件的inode。
當我們刪除其中一個文件時，系統(tǒng)首先將(count-1)->count，如果結(jié)果是零，就將其目錄項和數(shù)據(jù)區(qū)都刪除，
否則只將本目錄項刪除，數(shù)據(jù)區(qū)仍然保留，仍然可以通過另外的文件名訪問。根據(jù)這個特性，可以通過為重要的
文件建立硬連接的方法來防止其被誤刪除。
一個文件系統(tǒng)允許的inode節(jié)點數(shù)是有限的，如果文件數(shù)量太多，即使每個文件都是0字節(jié)的空文件，系統(tǒng)最終
也會因為節(jié)點空間耗盡而不能再創(chuàng)建文件。所以當發(fā)現(xiàn)不能建立文件時首先要考慮硬盤數(shù)據(jù)區(qū)是否還有空間(可
通過du命令)，其次還得檢查節(jié)點空間。
互為硬連接的多個文件必須位于同一個文件系統(tǒng)上。根設備及任何一個需要mount才能掛接進來的分區(qū)、軟盤、
NFS、光驅(qū)等都是一個獨立的文件系統(tǒng)，每個文件系統(tǒng)有一個相應的設備號，不同文件系統(tǒng)中具有相同inode節(jié)
點的文件間沒有任何聯(lián)系。系統(tǒng)則通過設備號和inode號的組合唯一確定一個文件。
Linux之所以能支持多種文件系統(tǒng)，其實是由于Linux提供了一個虛擬文件系統(tǒng)VFS，VFS作為實際文件系統(tǒng)的上
層軟件，掩蓋了實際文件系統(tǒng)底層的具體結(jié)構差異，為系統(tǒng)訪問位于不同文件系統(tǒng)的文件提供了一個統(tǒng)一的接
口。實際上許多文件系統(tǒng)并不具備inode結(jié)構，其目錄結(jié)構也和以上的討論不同，但通過VFS，系統(tǒng)均為其提供
了虛擬一致的inode和目錄項結(jié)構。所以，'ls -il'命令實際顯示的inode應該是VFS inode，也就是說，
inode是存在于內(nèi)存中的數(shù)據(jù)結(jié)構，而不一定是實際的硬盤結(jié)構。但為Linux量身定做的ext2文件系統(tǒng)具備實際
的inode和連接型目錄項結(jié)構，所以，對于ext2文件系統(tǒng)，可以認為我們上面討論的關于硬連接的概念是完全正
確的。
本節(jié)最后兩段的說明如果您暫時理解不了也沒關系，隨著學習的深入，慢慢就能理解了。
五、符號連接
============
不同文件系統(tǒng)中的文件不能建立硬連接，但可以通過符號連接進行同步。符號連接是一種獨立的文件類型，它有
自己的數(shù)據(jù)區(qū)，但數(shù)據(jù)區(qū)的內(nèi)容只是一個被它指向的文件的路徑名。前言那節(jié)的例子1.5說明文件sym_link是一
個指向/tmp/sym_target文件的符號連接，如果我們cat sym_link，系統(tǒng)自動將它指向的文件打開顯示而不是
顯示sym_link文件本身，注意sym_link的文件長度是15，正是字符串/tmp/sym_target的長度。建立符號連接
和建立硬連接一樣使用ln命令，不過要加入'-s'選項：
ln -s /home/zyd/file_system/mytext my_sym_link
# ls -li my_sym_link
262458 lrwxrwxrwx 1 zyd zyd 28 Nov 3 14:55 my_sym_link -> /home/zyd/file_system/mytext
思考題：建立符號連接時一般都要輸入目標文件的絕對路徑，為什么？
(提示：假設我們想讓用戶在任意當前目錄都能執(zhí)行/usr/local/my_bin/myproc而運行如下命令：
# cd /usr/local/bin
# ln -s ../my_bin/myproc myproc)
六、文件模式位mode
==================
通過chmod命令可以改變用戶對相應文件的存取權限。
Linux系統(tǒng)用一個16位的字來存儲每個文件的type和mode，其中高4位通過組合來決定文件的type，它是在文件
創(chuàng)建時寫入的，用戶不能更改。下面介紹后面的12位模式位
bit|11 10 9 |8 7 6 | 5 4 3 | 2 1 0 |
----|--------|--------|---------|---------|
| X X X |X X X | X X X | X X X |
----|--------|--------|---------|---------|
mode r w x r w x r w x
將這12位分成4組，高位組(9,10,11位)每位都有特殊的含義，下面將具體說明。此高位組(6,7,8位)決定文件
屬主擁有的權限，再下一組決定文件屬組成員對此文件擁有的權限，最低位組決定除了屬主及屬組以外的用戶擁
有的對此文件操作的權限。
較低3組中每組從最低位到最高位分別是執(zhí)行位、改寫位和讀取位，哪位置1表示有相關權限。例如第6位是1表示
屬主可以執(zhí)行此文件，第4位是1同組其他用戶可以改寫此文件，第2位是1表示其它用戶可以讀此文件。每組的3
位構成一位8進制數(shù)，可以將各權限位的組合通過3位8進制表示，例如：
111 101 100表示成754，則命令：
chmod 754 filename使文件的屬主能讀、寫和執(zhí)行filename文件，本組的其他用戶可以讀和執(zhí)行此文件，但不
能修改。其他用戶則只能讀該文件。
第11位是SUID位，第10位是SGID位，第9位是粘附位。
如果某個可執(zhí)行文件設置了SUID位，則此文件運行時的進程將具備和此文件屬主相同的權限。
/usr/bin/passwd設置了SUID位且其屬主是root，則任何用戶運行它時，其進程就具備了root權限，這就是為
什么普通用戶也可以通過passwd命令更改自己的登陸口令的原因(實際就是改變/etc/shadow文件，只有root有
權讀寫此文件).具備SUID位且屬主可執(zhí)行，則屬主執(zhí)行位顯示s來代替沒有SUID位的x，如果屬主不能執(zhí)行，則
顯示為大寫的S。
SGID和SUID含義相對應。設置SGID位且屬組可執(zhí)行，則屬組執(zhí)行位改成s顯示，否則以S顯示。
粘附位根據(jù)其他用戶是否可執(zhí)行分別在ls -l時在其他用戶執(zhí)行位上顯示成t或T。對于可執(zhí)行文件，設置了粘附
位可以使其第一次運行后在交換分區(qū)swap中保留正文的副本，由于交換分區(qū)的文件是連續(xù)存放的，所以下次運行
時能較快調(diào)入內(nèi)存。對于現(xiàn)代文件系統(tǒng)來說，這一功能已經(jīng)沒有什么實際意義了。
如果對一個目錄設置了粘附位，則只有對于該目錄具有寫許可權的用戶且滿足如下三個條件之一，才能刪除或更
名該目錄下的文件：
1、超級用戶root。
2、此目錄的擁有者。
3、擁有要被刪除或更改名字的文件。
這一特性被Linux使用到了/tmp目錄上：任何人都可以使用該目錄存儲文件，但只有文件所有者和root可以刪除
或更名文件。
最后要談的是目錄的讀、寫和執(zhí)行位的準確含義
初學者常常對目錄的權限位理解得似是而非，原因主要在于對文件系統(tǒng)的確切結(jié)構不理解。
r表示讀目錄，w表示寫目錄，而x表示搜索目錄(注意不是執(zhí)行目錄)
我們通過以上討論已經(jīng)知道目錄實際是一種特殊文件，它由目錄項構成，每個目錄項包括該目錄下一個文件的文
件名和inode。所以讀權限就是讀目錄項的權限，因此獲得此目錄所包含的文件名列表。同樣寫目錄權限就是更
改目錄目錄文件(增加、減少和更名目錄項)，實際就是能否在該目錄建立、刪除文件和為文件改名。搜索權限通
俗點可以理解為進入目錄對文件內(nèi)容進行操作的權限，包括打開文件、獲取文件的進一步詳細信息等權力。更通
俗點，我們可以將目錄比喻為盛藥的盒子，我們在一個大藥盒(根目錄)上貼上叫“藥品”的標簽(目錄名)，下面
列著“青霉素”和“感冒藥”(目錄項)，擁有x權限相當于有打開這個盒子的鑰匙。如果我們擁有鑰匙，就能打
開這個盒子(擁有根目錄的x權限，可以進入)，打開后發(fā)現(xiàn)里面還有一個加鎖的盒子貼有“感冒藥”標簽(子目
錄)，下面列著“感冒通”、“感康”......,另外還有一個藥瓶里面裝有消炎藥青霉素(文件)。
如果我們需要服用“青霉素”(相當于打開根目錄下的文件)，則我們必須擁有開大箱子的鑰匙(根目錄x權限)和
吃藥的權力(相應文件權限),但如果我們需要服用“感康”，則必須還有下一把鑰匙。目錄讀權限相當于我們是
否識字，寫權限相當于我們是否擁有一只筆。只要識字，我們沒有任何鑰匙也能大致了解大箱子內(nèi)有什么，但無
法了解小盒子里有些什么具體藥品。如果需要了解就必須首先能打開大箱子。如果我們要向大箱子內(nèi)放入一種新
藥或拿出一種藥品(相當于在根目錄內(nèi)創(chuàng)建、刪除文件)，我們首先必須能進入大箱子(x)，然后有筆(w)能相應
更改大箱子的標簽。
有了以上的比喻，下面進行正式說明：
1、當我們打開任何文件時(也就是我們的命令中包含最終文件名時)，對該文件名的絕對路徑中的每個目錄均必
須擁有x搜索權限。也只有擁有了x權限，才能用cd命令進入該目錄。
2、讀權限允許我們通過ls命令獲得該目錄的文件名列表，但前提仍然是必須對該目錄的所有上級目錄擁有x權限
(想想藥盒的故事)。
3、在滿足目錄權限的前提下，最終對文件的讀、寫、執(zhí)行取決于文件權限。
4、只要你擁有一個目錄的寫權限及其所有上層目錄的搜索權限，你就能在該目錄建立文件和刪除文件，即使這
個文件不歸你所有！?。?
5、超級用戶可以超越大多數(shù)文件權限的檢查。
思考題：
1、為什么目錄建立的默認權限是rwxr-xr-x？
2、假設在你的當前目錄下有一個子目錄test，你擁有讀和寫權限，沒有搜索權限，如下命令哪些能夠成功執(zhí)
行？為什么？
ls test
ls -l test
cd test
cp /etc/passwd ./test/newpasswd
del test/new_file
ln test/new_file up_file
七、更改文件模式mode
====================
更改文件模式可以通過chmod命令進行，我們將mode的低12位每3位一組組成4位8進制數(shù)，被設置權限的位為1，
否則為0，作為chmod的參數(shù)之一，后面跟需要更改權限的文件名列表，例如：
# chmod 4752 this.file
設置了this.file的SUID位(4)，文件屬主可以讀、寫和執(zhí)行(7)、同組其他用戶可以讀和執(zhí)行，不能更改(5)、
其他用戶只能改寫、不能讀和執(zhí)行(2)——哪位真的這樣設置了權限位，肯定腦筋有點問題:)
(全文完)
======================================== 一點說明 ======================================
我接觸Linux還不滿1年，UNIX則從未見過，又剛剛學習編程，文中錯誤和不當之處難免，歡迎各位指正。
Julian Chang
julian_ch@bigfoot.com
2000年11月20日
