用户与权限：rwx、chmod/chown、umask 与 sudo

whoami                  # 当前用户名
id                      # UID、GID 及所属的全部组
head -n 3 /etc/passwd   # 用户数据库：用户名:x:UID:GID:备注:家目录:登录Shell
head -n 3 /etc/group    # 组数据库

-rwxr-x--- 1 ada dev 4096 Jul 31 10:00 deploy.sh
│└┬┘└┬┘└┬┘
│ │  │  └── 其他人(o)：--- 无任何权限
│ │  └───── 属组(g)：r-x 可读可执行
│ └──────── 属主(u)：rwx 全权限
└────────── 文件类型：- 普通文件 / d 目录 / l 软链接

chmod 644 note.txt          # 数字法：一次设定全部九位
chmod u+x deploy.sh         # 符号法：给属主加执行权限
chmod g-w,o-r report.txt    # 组去掉 w，其他人去掉 r
chmod a+r public.txt        # a = 所有身份（u+g+o）
chmod -R 755 site/          # -R 递归作用于整个目录树

printf '#!/bin/bash\necho deploy ok\n' > deploy.sh
 
echo '$ ls -l deploy.sh   # 新文件默认没有 x'
ls -l deploy.sh
 
echo '$ ./deploy.sh   # 没有执行权限，无法运行'
./deploy.sh || echo '(失败：Permission denied)'
 
echo '$ chmod u+x deploy.sh && ls -l deploy.sh'
chmod u+x deploy.sh
ls -l deploy.sh
 
echo '$ ./deploy.sh   # 有 x 后可以执行了'
./deploy.sh
 
echo '$ chmod 600 deploy.sh && ls -l deploy.sh   # 数字法设为私密'
chmod 600 deploy.sh
ls -l deploy.sh
 
echo '$ stat -c "%a %A %n" deploy.sh   # stat 直接输出数字权限'
stat -c '%a %A %n' deploy.sh

mkdir vault
echo 'secret data' > vault/key.txt
 
echo '$ chmod 644 vault   # 目录只给 r，去掉 x'
chmod 644 vault
ls -ld vault
 
echo '$ ls vault   # r 在：还能列出文件名（可能带报错）'
ls vault 2>/dev/null
 
echo '$ 注意：沙箱以 root 运行，root 不受 r/w 限制，普通用户此时 cd 会被拒绝'
echo '$ 恢复 755 是目录的正确姿势'
chmod 755 vault
ls -ld vault

chown ada app.log            # 属主改为 ada
chown ada:dev app.log        # 属主 ada，属组 dev
chown -R www-data:www-data /var/www/blog    # 递归修改，部署站点常用
chgrp dev app.log            # 只改属组

# 沙箱是 root，可以创建用户并转移文件属主（alpine 用 adduser）
adduser -D alice 2>/dev/null
echo 'owned by root' > app.log
 
echo '$ ls -l app.log'
ls -l app.log
 
echo '$ chown alice app.log'
chown alice app.log
ls -l app.log
 
echo '$ chown alice:alice app.log   # 同时改属组'
chown alice:alice app.log
ls -l app.log
 
# 也可以直接用数字 UID
chown 0:0 app.log
echo '$ chown 0:0 之后（0 就是 root）：'
ls -l app.log

umask 022：文件 666-022=644，目录 777-022=755   （最常见默认值）
umask 077：文件 600，目录 700                    （只有自己可见，安全要求高的环境）

echo '$ umask   # 当前遮罩值'
umask
 
touch default.txt && mkdir default.dir
echo '$ umask 022 时新建的文件与目录：'
stat -c '%a %n' default.txt default.dir
 
echo '$ 把 umask 改成 077 再新建：'
umask 077
touch secret.txt && mkdir secret.dir
stat -c '%a %n' secret.txt secret.dir

sudo systemctl restart nginx     # 以 root 身份执行这一条命令
sudo -i                          # 切换成 root 的交互 Shell（慎用，用完 exit）
sudo -u www-data ls /var/www     # 以指定用户身份执行