2. Go语言权限模型基础：标准库中的权限控制

在云原生环境中，权限合规的起点是理解操作系统层如何标识用户、组以及进程权限。Go 标准库提供了 os/user、os/signal 和 os 包来与底层权限系统交互。本章将深入这些包的权限语义、典型用法以及边界场景，为后续的权限验证实战打下基础。

2.1 用户与组标识：os/user 包

os/user 包提供了跨平台查询当前进程用户、按用户名或 UID 查找用户、以及获取用户所属组的能力。在权限合规场景中，我们通常需要确认进程运行在哪个用户上下文中，以及该用户是否属于特权组。

package main

import (
    "fmt"
    "os/user"
)

func main() {
    // 获取当前用户
    current, err := user.Current()
    if err != nil {
        panic(err)
    }
    fmt.Printf("当前用户: %s (UID: %s, GID: %s)\n", current.Username, current.Uid, current.Gid)

    // 检查是否为 root
    if current.Uid == "0" {
        fmt.Println("警告：进程以 root 身份运行，请考虑降权")
    }

    // 获取用户所属组
    groupIDs, err := current.GroupIds()
    if err != nil {
        panic(err)
    }
    fmt.Printf("所属组 GID 列表: %v\n", groupIDs)
}

2.2 进程权限边界：os/signal 包与权限交互

信号（Signal）是 Unix 系统中进程间通信和权限控制的重要机制。不同信号对发送者和接收者的权限要求不同，os/signal 包允许 Go 程序捕获和处理这些信号。在权限合规场景中，信号常被用于优雅关闭、重新加载配置或触发权限检查。

package main

import (
    "fmt"
    "os"
    "os/signal"
    "syscall"
)

func main() {
    // 创建一个信号通道
    sigCh := make(chan os.Signal, 1)

    // 监听需要处理的信号
    signal.Notify(sigCh, syscall.SIGTERM, syscall.SIGHUP, syscall.SIGUSR1)

    fmt.Println("进程已启动，等待信号...")

    for {
        sig := <-sigCh
        switch sig {
        case syscall.SIGTERM:
            fmt.Println("收到 SIGTERM，执行权限清理并退出")
            // 权限合规：关闭文件描述符、释放特权端口
            os.Exit(0)
        case syscall.SIGHUP:
            fmt.Println("收到 SIGHUP，重新加载权限配置")
            // 权限合规：重新读取白名单、ACL 规则
        case syscall.SIGUSR1:
            fmt.Println("收到 SIGUSR1，输出当前权限审计快照")
            // 权限合规：打印当前用户、组、打开的文件权限
        }
    }
}

2.3 文件权限与进程交互：os 包中的权限控制

Go 的 os 包提供了文件创建、打开、权限修改等底层操作。在权限合规验证中，我们需要关注文件模式（FileMode）、umask 以及特权端口绑定等边界。

2.3.1 文件模式与 umask

创建文件时，Go 程序会受进程 umask 影响。umask 会屏蔽掉文件模式中指定的权限位，导致实际权限低于预期。合规验证时必须考虑 umask 的干扰。

package main

import (
    "fmt"
    "os"
    "syscall"
)

func main() {
    // 获取当前 umask（注意：此操作会同时设置 umask）
    currentUmask := syscall.Umask(0)
    syscall.Umask(currentUmask) // 恢复原值
    fmt.Printf("当前 umask: %04o\n", currentUmask)

    // 创建文件时指定 0644 权限，但实际受 umask 影响
    f, err := os.OpenFile("/tmp/test_perm.txt", os.O_CREATE|os.O_WRONLY, 0644)
    if err != nil {
        panic(err)
    }
    defer f.Close()

    // 检查实际权限
    info, _ := f.Stat()
    fmt.Printf("文件实际权限: %04o\n", info.Mode().Perm())
}

2.3.2 特权端口绑定

在 Unix 系统中，绑定低于 1024 的端口需要 CAP_NET_BIND_SERVICE 能力或 root 权限。Go 的 net.Listen 在底层会调用 bind 系统调用，权限不足时会返回 EACCES 错误。

package main

import (
    "fmt"
    "net"
    "os"
)

func main() {
    // 尝试绑定 80 端口（特权端口）
    ln, err := net.Listen("tcp", ":80")
    if err != nil {
        fmt.Printf("绑定 80 端口失败: %v\n", err)
        fmt.Println("权限不足，请检查是否具有 CAP_NET_BIND_SERVICE 能力")
        os.Exit(1)
    }
    defer ln.Close()
    fmt.Println("成功绑定 80 端口")
}

2.4 权限模型交互全景图

下图展示了 Go 标准库与操作系统权限子系统之间的交互关系，以及各包在权限合规验证中的角色。

2.5 权限合规边界检查清单

基于上述标准库的权限控制机制，在实际项目中应建立以下检查清单，确保权限合规边界得到验证：

1. 用户身份验证： 使用 user.Current() 确认进程不以 root 运行，除非必要。
2. 组权限审计： 调用 user.GroupIds() 检查用户是否属于敏感组（如 docker、wheel）。
3. 信号安全： 在信号处理函数中加入权限校验，防止未授权触发敏感操作。
4. umask 管理： 在创建敏感文件前显式设置 umask（如 syscall.Umask(0077)）。
5. 特权端口绑定： 避免直接绑定 <1024 端口，优先使用能力机制或端口转发。
6. 文件权限最小化： 创建配置文件、密钥文件时使用 0600 或 0640，避免过度开放。