服务器文件ACL权限与标准权限冲突导致403

# 为用户zhangsan单独授予读和执行权限
setfacl -m u:zhangsan:rx /var/www/html/project/

# 为developer组授予读写权限
setfacl -m g:developer:rwx /var/www/html/project/

drwxr-xr-x+ 2 www-data www-data 4096 Aug 19 10:00 uploads

# 查看ACL详细信息
getfacl /var/www/html/

# 输出示例
# file: var/www/html/
# owner: www-data
# group: www-data
user::rwx
user:deploy:r-x        # deploy用户看似有rx权限
group::r-x
group:devteam:r-x      # devteam组看似有rx权限
mask::r--              # ⚠️ mask限制了有效权限为只读
other::r--

# 重新设置mask为允许读和执行
setfacl -m m::rx /var/www/html/

# 或在setfacl时自动计算mask
setfacl --mask -m u:deploy:rx /var/www/html/

# 执行前ACL状态
# user:deploy:rwx
# mask::rwx
# other::r-x

# 执行 chmod 750 后
# user:deploy:rwx    ← ACL条目还在
# mask::r-x          ← mask被chmod改为r-x
# other::---         ← other权限被清零

# 结果：deploy的有效权限从rwx降为r-x，写权限丢失！

# 设置目录的默认ACL
setfacl -d -m u:www-data:r /var/www/html/uploads/

# 此后在该目录下创建的任何文件，www-data都只有只读权限
# 即使 chmod 777 也无法覆盖ACL的继承效果

1. 文件所有者 (owner)     → 使用user::条目
2. 命名用户 (named user)  → 使用user:name:条目
3. 所属组 + 命名组         → 取所有匹配组的并集，再受mask限制
4. 其他人 (other)          → 使用other::条目

# 假设nginx以www-data用户运行
# ACL中有一条限制性的named user规则：
setfacl -m u:www-data:--- /var/www/html/secret/

# 此时即使 other::rwx，www-data也完全无法访问
# 因为ACL的named user优先级高于other

# 检查文件系统挂载选项
mount | grep acl

# 或在 /etc/fstab 中确保包含 acl 选项
/dev/sda1  /var/www  ext4  defaults,acl  0  2

# 查看文件或目录的完整ACL信息
getfacl /var/www/html/

# 批量查找带有ACL标记的文件
find /var/www/html -exec getfacl {} + | grep -B5 "^user:\|^group:" 

# 快速定位带有ACL的文件（ls输出含+号）
find /var/www/html -exec ls -ld {} + | grep "+"

getfacl /var/www/html/index.php

# 输出中重点关注：
# 1. mask值是否限制了有效权限
# 2. 是否有针对Web进程用户的named user条目
# 3. effective权限注释是否与预期一致

# 使用 su 切换到Web服务器用户测试访问
su -s /bin/bash www-data
cat /var/www/html/index.php
ls /var/www/html/admin/

# 或使用 namei 追踪路径权限链
namei -l /var/www/html/index.php

# 删除指定文件或目录的所有ACL（恢复为纯标准权限）
setfacl -b /var/www/html/

# 递归删除目录下所有文件的ACL
setfacl -R -b /var/www/html/

# 删除默认ACL
setfacl -k /var/www/html/

# 然后重新按需设置
setfacl -R -m u:www-data:rx /var/www/html/
setfacl -R -m m::rx /var/www/html/

#!/bin/bash
# permission_baseline.sh - Web目录权限标准化脚本

WEB_ROOT="/var/www/html"

# 1. 清除所有现有ACL
setfacl -R -b "$WEB_ROOT"

# 2. 设置标准权限基线
chown -R www-data:www-data "$WEB_ROOT"
find "$WEB_ROOT" -type d -exec chmod 755 {} \;
find "$WEB_ROOT" -type f -exec chmod 644 {} \;

# 3. 为部署用户设置ACL
setfacl -R -m u:deploy:rwx "$WEB_ROOT"
setfacl -R -d -m u:deploy:rwx "$WEB_ROOT"

# 4. 设置合理的mask
setfacl -R -m m::rwx "$WEB_ROOT"

echo "权限基线已重置完成"

# GitLab CI示例
permission_check:
  script:
    - getfacl /var/www/html/ | grep -q "user:deploy:rwx"
    - namei -l /var/www/html/index.php | grep -v "^$"

# 监控 /var/www/html 的属性变更
auditctl -w /var/www/html -p a -k web_acl_change

# 查看权限变更日志
ausearch -k web_acl_change

进程访问文件
    │
    ▼
进程UID == 文件Owner？ ──── 是 ──→ 使用 user:: 权限 ──→ 判定完成
    │
    否
    ▼
进程UID匹配ACL中的named user？ ──── 是 ──→ 使用 user:name: 权限
    │                                        受mask限制 ──→ 判定完成
    否
    ▼
进程GID或补充组匹配所属组或named group？
    │
    是 ──→ 取所有匹配组权限的并集
    │       受mask限制 ──→ 判定完成
    否
    ▼
使用 other:: 权限 ──→ 判定完成