开发者工具 · Chmod 计算器

POSIX ACL 与 chmod 模式位：当 rwx 不够时

2026年8月1日 · 背景

chmod UNIX 访问控制

模式位涵盖一位所有者、一组和其他所有人。这篇文章解释了填补这一空白的 POSIX.1e ACL 模型、它如何与 chmod 交互，以及何时共享组仍然是更简单的答案。

比模型允许的多一个读取器 - 文件属于应用程序组，并且该组外的一名审核员需要读取该文件

普通模式模型没有第四个身份槽。它可以描述一个所有者、一个组和其他所有人的权限，但不能指定额外的审核员。计算器准确地反映了该边界：它的矩阵、符号显示和摘要公开了这三个类以及特殊位，而不是每个用户或每个组的访问条目。

仅仅为了容纳一个额外的读者而扩大另一个类别会影响属于该类别的每个身份。计算器可以显示算术变化，例如从 0640 移动到 0644，但它无法决定是否可以接受更广泛的访问。命名访问需要此路线之外的证据和工具。

每个尾随八进制数字属于一个固定类别。所有者、组和其他人接收读、写和执行标志，产生九个普通位置。该模型无法为指定人员插入另一个三元组。因此，成功的转换忠实地描述了基本模式，而没有提及其他地方附加的附加条目。

当读取明显限制性的输出时，此限制很重要。 rw-r----- 的符号值告诉您基本所有者、组和由 0640 表示的其他位。它并不能证明没有其他身份可以读取该对象，因为计算器既不检查 ACL 数据，也不观察任何外部执行层。

未实现指定用户和指定组条目。源不包含 ACL 记录的解析器或格式化程序、ACL 掩码以及 setfacl 或 getfacl 操作。这些概念可能会促使使用外部访问控制机制，但本文无法指定超出计算器显式边界的命令语法或行为。

在执行单独的工作时保持基本模式可见。输入报告的八进制值，验证所有者、组和其他三元组，并记录任何特殊位。然后使用权威的文件系统文档和合适的外部工具来命名条目。计算器生成的 chmod 预览不会创建、检查或保留 ACL。

chmod 更改、组类位和 ACL 掩码之间的关系取决于此处未实现的行为。计算器只是转换十二位模式并发出赋值或八进制参数。它没有用于计算有效权限的 ACL 状态，因此它无法预测指定条目是否会受到限制。

避免仅从模式输出描述 ACL 结果。从 0640 到 0600 的更改明显删除了该模型中的三个组类位；有关命名用户、命名组或掩码的任何内容都需要实际的 ACL 和平台规则。在将显示的命令应用于包含 ACL 的对象之前，请使用文件系统文档验证这些内容。

默认 ACL 继承也超出了路由范围。该页面没有目录ACL输入，没有创建操作，也没有umask字段。将目标选择器从文件切换到目录会更改附加到固定模式的简单英语动词；它不会创建文件、模型继承或计算未来对象的权限。

出于同样的原因，当前目录模式无法预测此处每个新子目录的模式。计算器可以解释目录读取、写入和执行对应于列出、修改条目和到达命名内容。它无法将这些基本位与它从未接收到的默认条目、创建请求或进程掩码组合起来。

考虑为可能需要额外读取器的文件提供 0640 基本模式。计算器呈现 rw-r-----：所有者读取和写入，组读取，其他无。这是其输入支持的完整声明。它既不识别审计员，也不提供第四类来放置该身份。

在 ACL 工作发生在其他地方时保留此基本模式记录。如果外部进程稍后报告不同的模式，请再次解码并比较每个类别。不要将 ACL 命令粘贴到模式字段中，也不要假设命令预览包含命名条目。它始终仅代表当前显示的数字模式。

其他 ACL 系列、远程文件系统规则和安装支持不是由这些源建立的。计算器不会检测存储类型、安装选项、操作系统或 ACL 操作的可用性。因此，缺少 ACL 视图是一个实现边界，而不是底层对象缺乏更丰富的访问控制的证据。

强制策略、功能、所有权和进程标识同样是独立的。即使完全了解基本模式也无法取代这些输入。将模式转换报告为一层，并明确标记每个未观察到的层。这可以防止干净的 rwx 显示被误认为是完整的授权分析。

当三个类别足够时，计算器会对它们进行精确、可逆的计算。如果不是，请保持该基本帐户可读，而不是将命名异常强制到另一个类中。八进制、符号和复选框视图应在相同的所有者、组、其他和特殊位值上达成一致。

停止规则很简单：使用此路径进行基本模式算术，使用外部权威工具进行 ACL 状态。切勿仅从 rwx 推断命名条目、掩码、继承或文件系统支持。仔细审查将这些单独的证据源结合起来，而不假装计算器实现了其源代码不包含的访问控制结构。