第27课：umask 默认权限控制

学习目标

完成本课学习后，你将能够：

1. 理解 umask 的概念及其在Linux权限系统中的作用。
2. 掌握通过 umask 计算新创建文件和目录默认权限的方法。
3. 学会查看、解释和临时/永久修改系统的 umask 值。
4. 了解不同 umask 设置对安全性和共享协作的实际影响。

核心概念

1. 什么是 umask？

想象一下，你是一位画家，正准备在新的画布上创作。你可能会先用一层薄纱遮住画布的某些部分，这样当你涂抹颜料时，被遮住的部分就不会被染上颜色。umask (User Mask) 在Linux系统中的作用与此类似。

它是一个权限“减码”，当用户或进程创建新文件或目录时，系统会首先赋予一个最大默认权限（文件是 666，目录是 777），然后从这个最大权限中减去 umask 的值，最终得到文件或目录的实际权限。

目的：umask 为系统提供了一种简单、统一的方式来控制新创建对象的默认权限，从而增强安全性。它防止用户无意中创建权限过宽（如所有用户可读可写）的文件。

2. 如何理解 umask 的值？

umask 的值同样用三位八进制数表示（如 022, 002, 027），每一位分别对应所有者（Owner）、所属组（Group）、其他用户（Others） 的权限掩码。

• 数字 2 代表掩码掉 w（写入权限）。
• 数字 7 代表掩码掉 rwx（所有权限）。
• 数字 0 代表不掩码任何权限。

核心计算公式：

• 文件默认权限 = 666 - umask
• 目录默认权限 = 777 - umask

注意：这里的减法是按位进行的逻辑减法，不是算术减法。

代码示例

示例 1：查看当前的 umask

# 查看当前shell会话的umask值（数字模式）
$ umask
0022
# 查看符号模式（更易读）
$ umask -S
u=rwx,g=rx,o=rx
# 这意味着对于新创建的目录，所有者有rwx，组有rx，其他人有rx。

示例 2：通过计算理解 umask 的作用

# 假设当前 umask 为 022
# 对于新创建的文件，系统默认权限起点是 666（-rw-rw-rw-）
# 计算过程：666 - 022 = 644 (-rw-r--r--)
$ touch testfile_umask022
$ ls -l testfile_umask022
-rw-r--r-- 1 user user 0 Jun 5 10:00 testfile_umask022

# 对于新创建的目录，系统默认权限起点是 777（drwxrwxrwx）
# 计算过程：777 - 022 = 755 (drwxr-xr-x)
$ mkdir testdir_umask022
$ ls -ld testdir_umask022
drwxr-xr-x 2 user user 4096 Jun 5 10:00 testdir_umask022

# 我们来验证一个更具限制性的umask，例如027
# 设置当前会话的umask
$ umask 027
# 新文件权限：666 - 027 = 640 (-rw-r-----)
$ touch testfile_umask027
$ ls -l testfile_umask027
-rw-r----- 1 user user 0 Jun 5 10:01 testfile_umask027

# 新目录权限：777 - 027 = 750 (drwxr-x---)
$ mkdir testdir_umask027
$ ls -ld testdir_umask027
drwxr-x--- 2 user user 4096 Jun 5 10:01 testdir_umask027

示例 3：临时与永久设置 umask

# 1. 临时设置（仅对当前shell会话有效）
$ umask 027

# 2. 永久设置（需要写入配置文件）
# 对于所有用户的登录shell，编辑 /etc/profile
$ sudo vi /etc/profile
# 在文件末尾添加：
umask 027

# 对于当前用户，编辑其家目录下的配置文件（如 ~/.bashrc）
$ vi ~/.bashrc
# 在文件末尾添加：
umask 027
# 修改后，需执行 `source ~/.bashrc` 或重新登录使其生效。

实践练习

练习 1：识别与解释

1. 运行 umask 命令，记录你的系统当前默认 umask 值。
2. 根据该值，计算并写下新创建的文件和目录的预期权限（八进制和 ls -l 符号）。
3. 创建一个新文件和一个新目录，用 ls -l 验证你的计算是否正确。

练习 2：计算与预测

假设你的 umask 被设置为 037。

1. 新创建的文件权限是什么？（给出八进制和 -rw------- 这样的格式）
2. 新创建的目录权限是什么？
3. 这样的设置对安全性和协作有什么影响？

练习 3：设计 umask 策略

你是一个项目目录 /project 的管理员。这个目录需要满足以下要求：

• 项目成员（属于 developers 组）需要能读、写、执行目录内的所有内容。
• 系统中的其他用户（非项目成员）应该完全无法访问此目录及其内容。
• 新创建的文件和目录应自动继承适当的权限。 任务：你应该如何设置 /project 目录本身的权限？并推荐一个合适的全局 umask 值（或解释为何可能需要不同的设置）？请写出步骤。

常见错误

1. 混淆 umask 与 chmod：umask 是设置未来创建对象的默认权限模板，而 chmod 是修改现有对象权限。它们作用时机和对象不同。
2. 误以为 umask 直接设置了权限：umask 是“减码”。umask 022 的意思是“从默认权限中减去组和其他用户的写权限”，而不是“设置权限为 022”。
3. 不理解文件和目录默认权限起点不同：这是最关键的一点！文件的起点是 666（无执行权限），目录的起点是 777（必须有执行权限才能进入）。如果 umask 是 022，那么文件得到 644，目录得到 755。
4. 忽略 umask 的临时性：在命令行直接运行 umask 只影响当前会话。如果不在配置文件中设置，重启或新登录后就会恢复默认。
5. 过度依赖 umask 进行精细权限控制：umask 是一种粗粒度、全局性的权限控制手段。对于需要特定用户或组有特殊权限的复杂场景，应使用更高级的 ACL（访问控制列表）。

小结

• umask 是什么：一个三位八进制的权限掩码，用于“扣除”新创建文件和目录的默认最大权限。
• 工作原理：
  • 新文件权限 = 666 - umask （因为文件默认不应有执行权限）
  • 新目录权限 = 777 - umask （因为目录需要执行权限才能被访问）
• 常见值：
  • 002：常用于多用户协作环境，允许同组用户写入彼此的文件。
  • 022：许多Linux发行版的默认值，提供较好的基本安全性。
  • 027：更严格，完全禁止其他用户访问。
• 如何管理：使用 umask 命令查看和临时设置；通过修改 /etc/profile, ~/.bashrc 等文件进行永久设置。
• 核心要点：理解 umask 是减法，以及文件 (666) 和目录 (777) 起始权限的不同，是掌握它的关键。对于更复杂的共享需求，应结合目录的 setgid 位和 ACL 一起使用。