📚 课程目录第4章设置用户ACL

4. 设置用户ACL：增、改、删，三板斧

好，咱们进入实操环节。前面讲了ACL是个什么东西，现在该动手了。这一章我带你过一遍用户ACL的增、改、删操作。说白了，就是怎么给一个用户开权限、改权限、收权限。

我个人习惯把这三步叫做「三板斧」。你把这几个命令练熟了，日常工作中80%的ACL场景都能搞定。

先看添加。命令是 setfacl -m，-m 就是 modify 的意思。虽然叫modify，但第一次用的时候就是添加。

基本语法长这样：

setfacl -m u:用户名:权限 文件或目录

权限部分和普通Linux权限一样，用 rwx 表示。举个例子：

# 给用户 zhangsan 添加对 report.txt 的读写权限
setfacl -m u:zhangsan:rw report.txt

# 查看效果
getfacl report.txt

输出大概是这样：

# file: report.txt
# owner: root
# group: root
user::rw-
user:zhangsan:rw-
group::r--
mask::rw-
other::r--

看到没？多了一行 user:zhangsan:rw-。这就是ACL的威力——zhangsan 这个用户，既不是文件所有者，也不在文件所属组里，但照样能读写这个文件。

小技巧： 我习惯在添加完ACL后立刻用 getfacl 看一眼。确认无误再走下一步，避免手滑写错权限。

给目录添加ACL也类似：

setfacl -m u:zhangsan:rx /data/project

不过这里有个坑。你给目录加了ACL，目录里已有的文件并不会自动继承。想让新文件也继承？得加 -d 参数，这个后面章节会细讲。

修改和添加用的是同一个命令——setfacl -m。你没看错，就是同一个。系统会判断：如果这个用户还没有ACL条目，就新建；如果已经有了，就覆盖。

举个例子：

# zhangsan 原来只有 rw 权限，现在改成 rwx
setfacl -m u:zhangsan:rwx report.txt

再看一下：

getfacl report.txt

# file: report.txt
# owner: root
# group: root
user::rw-
user:zhangsan:rwx
group::r--
mask::rwx
other::r--

注意看，mask 也自动变成了 rwx。这个 mask 是什么？我简单解释一下——它是ACL的「上限阀门」。你给用户设了 rwx，但如果 mask 只有 r--，那用户实际能拿到的只有 r--。

避坑指南： 我曾经在项目里遇到过一个问题：给一个同事加了 rwx 权限，但他还是写不了文件。查了半天，发现是 mask 被卡住了。所以修改权限后，记得看一眼 mask 有没有跟着变。

修改权限时，我建议你遵循「最小权限原则」。给够用的就行，别一上来就 rwx。比如用户只需要读，就给 r--；需要读和写，就给 rw-。权限给大了，安全风险就上来了。

删除分两种：删单个用户的ACL，或者删整个文件的ACL。

用 setfacl -x，-x 就是 remove 的意思。

# 删除 zhangsan 的 ACL 条目
setfacl -x u:zhangsan report.txt

执行完再看：

getfacl report.txt

# file: report.txt
# owner: root
# group: root
user::rw-
group::r--
mask::r--
other::r--

zhangsan 那行没了。干净利落。

有时候你想把整个文件的ACL全部清掉，恢复到传统权限模式。用 -b 参数：

setfacl -b report.txt

这个 -b 是「全部移除」的意思。执行后，所有ACL条目都会被删除，只保留传统的 owner/group/other 权限。

  重要提醒： setfacl -b 是「核弹级」操作。执行前一定确认清楚，是不是真的要把所有ACL都清掉。我见过有人手快，把整个项目目录的ACL全清了，结果一堆人访问不了，线上事故。

下面这张图帮你理清整个流程。从判断用户是否存在，到执行命令，再到验证结果，一步不落。

我把这一章的命令整理成了一张表。你把它存下来，用的时候直接查。

最后，我把这一章容易踩的坑列出来。你记住这几个，能省不少排查时间。