getfacl是什么？為什么要用它？如何使用？怎樣理解mask？常見問題有哪些？getfacl是查看文件或目錄acl信息的工具，用于實現更細粒度的權限管理，適用于為特定用戶或組設置獨立權限的場景，基本命令為getfacl 文件名或目錄名，輸出內容包括文件名、所有者、所屬組及各類用戶的權限條目，mask決定了額外用戶或組權限的最大限制，實際有效權限受mask影響，常見問題包括文件系統不支持acl、掛載時未啟用acl選項等，可通過結合grep過濾信息或加-r參數遞歸查看目錄acl。
在linux系統中，查看用戶對某個文件或目錄的有效權限并不總是直接明了。除了傳統的ls -l命令外，getfacl是一個更強大的工具，可以顯示訪問控制列表（ACL），幫助我們更細致地了解用戶、組和其他人的具體權限設置。
getfacl是什么？為什么要用它？
getfacl是“get file access control list”的縮寫，用于查看文件或目錄的ACL信息。與普通權限（讀、寫、執行）不同，ACL允許為特定用戶或組設置獨立權限，適用于復雜權限管理場景。
比如，你有一個項目目錄，希望某位協作者擁有寫權限，但又不想開放給整個組。這時就可以使用ACL，并通過getfacl來確認設置是否生效。
如何使用getfacl查看文件或目錄的權限？
基本命令格式如下：
getfacl 文件名或目錄名
輸出內容通常包括：
- # file: 顯示目標文件或目錄名稱
- # owner: 所有者用戶名
- # group: 所屬組名
- user::：所有者的權限
- group::：所屬組的權限
- other::：其他用戶的權限
- 還可能包括額外的user:用戶名:或group:組名:條目，表示單獨設置的ACL規則
例如：
$ getfacl project/ # file: project/ # owner: alice # group: dev user::rwx user:bob:r-x group::r-x mask::r-x other::r-x
這說明用戶bob對project/目錄有讀和執行權限，而所有者alice有完全控制權。
怎樣理解mask和effective權限？
ACL中的mask決定了額外用戶或組權限的最大限制。即使你設置了user:bob:rwx，但如果mask是r-x，那實際有效權限也是r-x。
你可以將mask看作一個過濾器，限制了除所有者和other之外的權限上限。
如果發現某些ACL設置沒有生效，很可能是因為mask權限不夠高。修改mask的方法是使用setfacl -m m::rwx 文件名。
常見問題與注意事項
-
為什么設置了ACL卻不起作用？
可能是文件系統不支持ACL，或者掛載時未啟用acl選項。 -
如何只查看部分信息？
可以結合管道和grep，如：getfacl filename | grep 'user:bob'
-
getfacl能遞歸查看嗎？
可以加上-R參數查看目錄下所有內容的ACL：getfacl -R /path/to/dir
-
如何判斷某用戶的最終有效權限？
需要綜合考慮：- 是否是文件所有者 → 權限由user::決定
- 是否屬于文件所屬組 → 看group::和mask
- 是否有單獨的ACL規則 → 如user:alice:
- 否則看other::
基本上就這些。掌握getfacl不僅能幫你排查權限問題，還能讓你更好地理解和管理Linux系統的細粒度權限控制。
