ACL(Access Control Lists)
#https://wiki.archlinux.org/title/Access_Control_Listshttps://help.ubuntu.com/community/FilePermissionsACLs什么是ACL
#ACL(Access Control List，访问控制列表)是Linux系统中一种灵活的权限管理机制，它在传统的UGO(User、Group、Other，用户、组、其他)权限模型基础上进行了扩展。传统的UGO权限只能针对文件的所有者、所属组和其他用户设置权限，而ACL允许为特定的用户或组设置更精细的访问权限，解决了UGO权限在某些场景下的不足。
简单来说，ACL就像是给文件或目录添加了额外的“权限标签”，让我们可以更灵活地控制谁可以访问以及如何访问这些文件或目录。
ACL的作用:
更精细的权限控制： 可以针对特定的用户或组设置读、写、执行权限，而不仅仅局限于所有者、所属组和其他用户解决UGO 权限的不足： 当需要允许多个用户或组以不同权限访问同一文件或目录时，ACL提供了有效的解决方案方便权限管理： 通过ACL可以更方便地管理复杂的权限需求，而无需频繁更改文件的所有者或所属组ACL的组成
#ACL由一系列的访问控制条目(ACE，Access Control Entry)组成，每个ACE 定义了一个用户或组的访问权限。一个 ACE 通常包含以下信息：
类型:标识符:权限
类型：即ACE的类型，例如u用户, g组, m掩码标识符：指定用户或组的名称或ID权限： 指定允许的访问权限，读r, 写w和执行x管理ACL的命令
#Linux中用于管理ACL的主要命令有两个：
setfacl： 用于设置或修改文件的ACLgetfacl: 用于查看文件的 ACLgetfacl
#示例:
1getfacl audit.log
2# file: audit.log
3# owner: root
4# group: root
5user::rw-
6group::---
7other::---
setfacl
# 1setfacl --help
2Usage: setfacl [-bkndRLP] { -m|-M|-x|-X ... } file ...
3 -m, --modify=acl modify the current ACL(s) of file(s)
4 -M, --modify-file=file read ACL entries to modify from file
5 -x, --remove=acl remove entries from the ACL(s) of file(s)
6 -X, --remove-file=file read ACL entries to remove from file
7 -b, --remove-all remove all extended ACL entries
8 -k, --remove-default remove the default ACL
9 --set=acl set the ACL of file(s), replacing the current ACL
10 --set-file=file read ACL entries to set from file
11 --mask do recalculate the effective rights mask
12 -n, --no-mask don't recalculate the effective rights mask
13 -d, --default operations apply to the default ACL
14 -R, --recursive recurse into subdirectories
15 -L, --logical logical walk, follow symbolic links
16 -P, --physical physical walk, do not follow symbolic links
17 --restore=file restore ACLs (inverse of `getfacl -R')
18 --test test mode (ACLs are not modified)
19 -v, --version print version and exit
20 -h, --help this help text
setfacl 命令的常用选项包括：
-m：修改ACL条目。-x：删除指定的ACL条目。-b：删除文件的所有ACL条目。-d：设置默认ACL条目（用于目录，新创建的文件会继承这些 ACL）。-k：删除默认ACL条目。-R：递归地设置ACL条目（用于目录及其子目录）。例子:
给用户alice设置文件的读写权限：
1setfacl -m u:alice:rw file.txt
给组developers设置目录的读和执行权限：
1setfacl -m g:developers:rx directory
删除用户bob对文件的ACL条目：
1setfacl -x u:bob file.txt
删除文件的所有ACL条目：
1setfacl -b file.txt
例子:
1# 删除（-x）用户ID 10001对/var/log/pods目录及其所有子目录和文件（-R表示递归）的ACL权限
2setfacl -R -x u:10001 /var/log/pods
3# 设置（-m）用户ID 10001对/var/log/pods目录及其所有子目录和文件的权限为读取和执行（rx）。
4# 同时，它也设置默认ACL（d:u:10001:rx），确保该目录下新创建的文件和子目录也会继承这些权限
5setfacl -R -m u:10001:rx,d:u:10001:rx /var/log/pods
ACL的掩码(mask)
#ACL的掩码用于限制用户和组的最大有效权限。例如，如果一个用户的ACL条目设置为rw-，但掩码设置为r--，则该用户的实际有效权限只有r--。
掩码就像是一个“过滤器”，它会“过滤”掉所有超出其范围的权限。即使 ACL 条目设置了更高的权限，最终的有效权限仍然会受到掩码的限制。这为我们提供了一种方便的方式来控制所有用户和组的最大访问权限，提高了权限管理的灵活性和安全性。
例如：
1mkdir project
2setfacl -m m::rx project
3
4getfacl project/
5# file: project/
6# owner: root
7# group: root
8user::rwx
9group::r-x
10mask::r-x
11other::r-x