setfacl是Linux系统中用于设置文件访问控制列表(ACL)的命令，它允许管理员对指定用户或组分配独立的读、写、执行权限，弥补了传统chmod只能设置所有者、组、其他人三组权限的不足。
setfacl命令用法详解
setfacl的语法围绕几条核心参数展开,掌握这些参数就能应对多数权限场景，基础命令格式分为修改、删除、清除和递归操作，每种都对应一个独立选项。
-m参数：修改或添加ACL规则，后接规则内容。-x参数：删除指定用户或组的ACL规则。-b参数：移除文件或目录上的所有ACL，恢复为传统权限。-R参数：递归操作，对目录及其所有子内容生效，需与-m或-x搭配使用。
设置用户权限
规则格式为 u:用户名:权限，权限使用 rwx 组合，与chmod相同，举例：为 developer 用户授予对脚本的读写执行权限，命令为 setfacl -m u:developer:rwx /opt/script.sh，执行后该用户即便不在文件所有者组中，也能获得相应访问权。
设置组权限
组规则格式为 g:组名:权限，为 devteam 组设置读和执行权限：setfacl -m g:devteam:rx /project，这对项目共享目录非常实用，避免手动为每个成员单独设置。
设置默认权限
默认权限只能用于目录,新创建的文件或子目录会自动继承，规则前加 d: 前缀，让新文件自动获得 user1 的读写权限：setfacl -m d:u:user1:rw /shared，这省去了后续为新文件重复设置权限的麻烦。
setfacl与chmod区别对比
传统chmod权限模型只有三个角色,而ACL扩展了该模型，特别适合多用户协作场景，下表直观对比两者的核心差异。
| 特性 | setfacl (ACL) | chmod |
|---|---|---|
| 权限粒度 | 可为任意用户/组单独设置 | 仅支持所有者、组、其他人三类 |
| 灵活性 | 高，多用户、多组场景 | 低，受限于三个角色 |
| 默认权限 | 支持目录的默认ACL | 无直接继承机制 |
| 查看方法 | getfacl命令 | ls -l命令 |
| 适用场景 | 多用户服务器、共享目录、合规审计 | 简单个人文件或单用户系统 |
业内专家指出，在多用户服务器或文件共享环境中，单纯使用chmod无法满足复杂的权限需求，而ACL（包括setfacl）成为不可或缺的扩展。 一个目录需要同时给两个不同部门的不同权限，用chmod几乎不可能，而setfacl只需两条规则即可完成。
setfacl权限设置示例：从入门到实战
为单个用户赋予读写权限
假设有一个共享目录 /data，需要给用户james完全的访问权限，但保留其他用户原有权限，执行：
setfacl -m u:james:rwx /data
验证：getfacl /data 输出中会显示 user:james:rwx 条目。
递归设置目录权限
如果目录下已有大量文件,使用 -R 递归修改，将 /data 及其子文件授予user1读权限：
setfacl -R -m u:user1:rx /data
注意：递归操作会覆盖子文件已有的ACL，建议先备份当前ACL，使用
getfacl -R /data > backup.acl。
设置默认权限，让新文件自动继承
在目录上设置默认ACL是管理共享空间的常用技巧,让 /share 目录下所有新创建的文件自动赋予 team组写权限：
setfacl -m d:g:team:rw /share
之后在该目录下创建的任何文件,用 getfacl 查看都会显示 default:group:team:rw。
删除ACL
要删除特定用户的ACL,使用 -x：setfacl -x u:user1 /data，要删除所有ACL，恢复为传统权限：setfacl -b /data，删除后，目录仅保留chmod定义的权限，ACL条目消失。
setfacl在Linux权限管理中的高级应用
多用户共享目录的权限隔离
在开发团队中,多个用户需要访问同一目录，但每个人只能读写自己的文件，其他人只有读权限，通过设置默认ACL结合掩码可实现：
- 设置目录默认mask为
r-x，限制最大权限。 - 为特定用户或组赋予更宽松的权限,如
u:developer:rwx。 - 新创建的文件自动继承mask和用户规则,实现权限隔离。
据红帽官方文档,这种模式被广泛应用于企业级文件服务器，满足最小权限原则。
结合POSIX ACL实现安全审计
安全审计中常要求对每个用户或进程分配最小权限,setfacl允许精确到每个用户，避免权限过大导致风险，审计日志目录只有特定用户可写，其他用户仅读：
setfacl -m u:auditor:rwx,u:operator:rx /var/log/audit
这比chmod提供更细的控制,且符合PCI DSS等行业标准对访问控制的建议。
备份和恢复ACL
迁移服务器或定期备份时,ACL需要单独导出和恢复，使用 getfacl 导出，setfacl --restore 恢复：
- 导出：
getfacl -R /data > acl_backup.txt - 恢复：
setfacl --restore=acl_backup.txt
恢复时,目标目录结构必须与备份时一致，否则可能报错，建议在备份脚本中同时备份目录树和ACL文件。
setfacl是Linux权限管理的得力助手，它为多用户、多组场景提供了细粒度的访问控制，弥补了传统chmod的不足，掌握setfacl，你能更灵活地管理共享目录、服务器访问，并满足安全审计需求。
setfacl常见问题解答
setfacl如何设置目录默认权限，使新文件自动继承？
使用 -m d:u:用户名:权限 格式，设置默认用户user1对目录有读写权限：setfacl -m d:u:user1:rw /sharedir，之后在该目录下创建的新文件会自动获得user1的读写权限，验证时使用 getfacl /sharedir，查看默认条目部分。
setfacl和chmod一起使用会冲突吗？
不会冲突,但需注意顺序，ACL权限计算时，如果文件有ACL，系统会优先检查ACL，忽略传统chmod权限，然而chmod更改的mask会影响ACL中的最大有效权限，建议使用setfacl后，不要随意用chmod修改权限，以免mask被重置，导致ACL有效权限变化。
如何查看文件或目录的ACL权限？
使用 getfacl 命令，getfacl /path/to/file，输出会列出所有ACL条目，包括用户、组、掩码、默认权限以及传统权限对应的owner、group、other，该命令输出格式清晰，可直接用于审计或备份。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/504928.html
