刚接触 Linux 的人最容易卡住的地方其实就两个一是命令记不住二是权限搞不懂。我当年学的时候也是这样拿着一堆“Linux 常用命令大全”去背结果遇到实际问题照样抓瞎。后来慢慢上手才发现Linux 学习的节奏应该是用命令去解决问题在解决问题时理解权限。这篇就围绕 Linux 基础指令和权限管理这两条主线把我在实际使用中踩过的坑、总结出来的方法、以及一套可以直接照抄的实操流程都写出来希望能让刚入坑的朋友少走点弯路。1. 先把“基础指令”这件事想清楚很多新手会把 Linux 基础指令当成一门“背单词”的学科这其实是最容易放弃的方式。我见过不少人抱着打印出来的命令列表背了半个月真到服务器上操作还是不知道从哪下手。问题不在于记性差而是没有搞明白一个核心逻辑命令是用来解决具体问题的你要在解决问题的过程中记住它而不是先记住再等它派上用场。1.1 别硬背命令先学会“问终端”我这些年养成了一个习惯不管碰到什么工具第一反应是先敲man或者--help。Linux 跟 Windows 不太一样它自带的文档其实非常完整只是很多人不知道怎么用。man是 manual 的缩写就是查看命令的完整手册。比如你想搞懂ls的所有参数直接敲man ls里面会说明每个选项的含义。手册内容很长可以用/搜索关键词按q退出。--help是大多数命令都会提供的简版帮助适合快速扫一眼常用参数。比如tar --help会列出所有选项比 man 手册更短更直接。另外还有几个命令我也经常用。type可以看一个命令是内置命令还是外部程序比如type cd会告诉你 cd 是 shell 内置的which可以定位外部命令的路径比如which python3history可以查看你之前敲过的历史命令配合!数字可以直接重跑某一条。还有个很容易被忽视的习惯是 Tab 补全。在终端里按下 Tab 键它会自动补全命令名、文件路径有时候连参数都能提示。我见过很多人还在一个字符一个字符地敲路径其实用 Tab 能省一半时间。在终端里遇到不确定的命令先别急着去翻资料按一下 Tab看看它给你什么提示这就是最快的老师。1.2 高频命令按场景分好类生产环境够用就行不需要把几百条命令全都背下来真正在服务器上天天用的翻来覆去就那么几十条。我习惯把它们按场景分成几组每一组解决一类问题。文件与目录操作是使用频率最高的一组。ls列出目录内容配合-l看详细信息、-a看隐藏文件cd切换目录pwd确认自己当前在哪mkdir创建目录-p可以一次性创建多级目录touch创建空文件或者更新时间戳cp复制文件-r递归复制目录mv移动或者重命名rm删除文件-r删除目录-f强制删除。这些是基本功中的基本功但如果不懂细节出错概率也非常高后面我会专门列几个坑。文本处理这组在排查日志时特别有用。cat直接查看文件全部内容适合小文件less分页阅读大文件支持上下翻页和搜索head看文件开头默认前十行tail看文件结尾配合-f可以实时跟踪日志追加内容grep按关键词过滤文本行是最常用的日志检索工具比如grep ERROR /var/log/nginx/error.log。进程与资源这组是查服务器问题的入口。ps查看进程快照ps aux可以看到所有进程top是一个交互式的实时监控界面按q退出kill向进程发送信号最常用的是kill -9强制结束进程和默认的kill正常结束进程df -h查看磁盘分区使用情况du -sh *查看当前目录下每个子目录占用的空间。网络这组也别忽略。ip addr或ip a查看网络接口和 IP 地址比老旧的ifconfig更好用ping测试网络连通性ss -tlnp查看当前监听的端口以及对应的进程排查端口占用问题非常实用curl可以模拟 HTTP 请求调试接口的时候几乎是必备工具。这些命令不用一次全学会先混个脸熟等遇到问题了再翻出来用。我自己的习惯是每学一个命令就把它和它解决的问题绑在一起记比如tail -f就是“盯日志”ps aux就是“看进程”这样想忘都难。1.3 那些年我踩过的命令坑基础指令看着简单真正操作起来坑非常多。我把自己踩过的、也看别人踩过的几个典型错误写出来大家引以为戒。第一个是rm -rf的误用。rm -rf /这种段子大家听过但在生产环境里更常见的场景是变量为空导致误删。比如你写了一个脚本里面有一句rm -rf $TMP_DIR/*结果$TMP_DIR因为某种原因没取到值命令就变成了rm -rf /*整个系统就完了。我现在的习惯是删除之前先echo打印实际执行的完整命令看一眼或者在脚本里加一个判断确保变量非空再执行删除。第二个是通配符的误扩展。执行rm *.log的时候如果当前目录下没有 log 文件shell 会原样把*.log当成一个文件名传给 rm这时候不会报错也不会删除看起来没事。但如果你用find . -name *.log -exec rm {} \;一旦路径写错可能删掉比预期多得多的文件。所以我建议在批量操作之前先用find的-print或者ls看看到底匹配了哪些文件确保无误再执行。第三个是重定向覆盖的坑。echo abc config.conf会直接覆盖原来的内容很多人想追加却用了把配置写没了。想追加内容要用。我当时就干过一次想往配置文件里加一行注释结果把整个配置文件清空了。现在每次用之前我都会默念一遍“这是要覆盖”提醒自己确认意图。还有管道配合 grep 的坑。比如你在进程列表里找某个进程用了ps aux | grep python你会发现结果里除了想要的进程还有一条grep python本身的进程这是因为 grep 命令运行时也会出现在进程列表里。解决办法是ps aux | grep py[t]hon或者ps aux | grep python | grep -v grep后一种更直观。2. 权限问题先从“控制谁”说起命令能跑了比命令更让人头疼的就是权限。Windows 转过来的朋友初次接触 Linux 时看到Permission denied往往一脸懵不知道是谁拦住了自己。其实 Linux 的权限体系比 Windows 简单直接得多核心就是三个身份、三个权限位。2.1 权限的最小单位是用户和用户组Linux 是一个多用户系统所有文件都有三个归属一个所有者user一个所属组group以及其他人others。你可以用ls -l看一个文件的详细信息开头那串字符比如-rw-r--r--就说明了全部权限。前三位表示所有者的权限中间三位表示所属组成员的权限后三位表示其他人权限。这个“成员”的概念很关键每个用户可以属于一个或多个用户组组里所有用户对同一个文件拥有相同的权限这样就不用一个个用户地授权了。想查看当前身份用whoami想看看自己属于哪些组用groups想看更详细的 uid、gid 信息用id。所有用户的信息都存在/etc/passwd用户组信息在/etc/group密码经过加密存储在/etc/shadow。普通用户理论上不应该有读取 shadow 文件的权限root 才有权限设计在这里就已经体现出来了。创建用户用useradd创建用户组用groupadd把用户加入组用usermod -aG 组名 用户名。这里要特别提醒-aG的-a是 append 的意思必须带上如果只写-G会把用户从原有组中移除很容易把人从 sudo 组里踢出去。2.2 rwx 三个位在文件和目录上的含义不一样权限位就三种r 读、w 写、x 执行。但同样一个 rwx在不同的对象上含义并不一样这是很多新手理解权限的第二个坎。对文件来说r 表示可以读取文件内容w 表示可以修改文件内容x 表示这个文件可以被系统当作程序执行。对目录来说r 表示可以列出目录里的文件名也就是可以执行lsw 表示可以在目录里创建、删除、重命名文件x 表示可以进入这个目录也就是可以cd进去。我打个比方目录的 r 权限相当于给你一份“目录清单”x 权限相当于给你“进屋的钥匙”w 权限相当于允许你在这个屋子里“摆放或扔掉东西”。如果只有 r 没有 x你虽然能列出名字但进不去也访问不到文件内容。很多人会碰到一种情况目录对其他人没有任何权限所以里面的文件即使设置了 644别人也看不到。因为访问文件的第一步是先通过目录的 x 权限这就是为什么有时候你明明把文件权限改成了 777别人还是进不来问题往往出在上级目录上。2.3 数字权限 754 到底是怎么算出来的理解了 rwx 三个位之后就要学会数字表示法。它其实就是一个二进制到十进制的转换r 是 4w 是 2x 是 1没有权限就是 0。每个位上的数字代表这个身份的所有权限之和。比如 754 这个数字拆开来看7 表示所有者拥有 421也就是 rwx5 表示所属组拥有 41也就是 r-x4 表示其他人只拥有 4也就是 r--。所以chmod 754 file的效果就是所有者能读写执行所属组能读和执行但不可写其他人只能读。再比如我自己经常用的chmod 6406 对应所有者 rw4 对应所属组 r0 对应其他人完全没有权限。适合存放一些敏感配置文件。那umask是什么呢它就是新建文件或目录时系统默认帮你减掉的权限。默认情况下新文件的完整权限是 666新目录是 777但实际生成的时候要减去 umask 值。如果 umask 是 022那么新建文件就是 666-022644新建目录就是 777-022755。查看当前 umask 直接敲umask临时修改可以先查一下系统要求再改这件事在很多安全基线里都会提到。我用chmod的习惯是能写数字就写数字因为数字表达更紧凑、更明确但偶尔也会用符号模式比如chmod ux script.sh表示只给所有者加执行权限。实际管理时用-R递归修改整个目录树之前一定要先想清楚是否所有子文件都需要统一权限别把不该改的执行权限也改上。3. 实操完整配置一次项目目录权限理解了权限的三层原理接下来动手做一遍。我选一个非常常见的场景服务器上有一个 web 项目目录/var/www/app开发人员以tom和jack两个用户身份工作他们都属于devteam组需要对这个目录拥有完整的读写执行权限而其他用户完全不能访问这个目录。3.1 场景设定与权限设计思路很多新手拿到这个需求第一反应可能是chmod -R 777 /var/www/app一口气全放开省事。但 777 意味着任何用户都能读写执行这个目录里的文件一旦服务器上还有其他用户或者某个 web 服务被攻破整个项目源码和数据就彻底暴露了。生产环境里 777 是坚决要避免的除非是临时调试用的私有环境。合理的思路是用一个专门的用户组来管理。tom 和 jack 加入devteam组目录的所属组设置为devteam组成员拥有读写执行权限其他用户设置为零权限。这样做的好处是以后加人或减人不需要一个个文件改权限只要把用户的组成员关系调整一下就行。目录的最终权限我打算设置为 2770这里面的 2 是一个特殊权限位叫 setgid。它表示在这个目录下创建的新文件其所属组会自动继承目录的所属组而不是创建者的默认组。这个特性对共享协作目录非常重要否则 tom 创建的文件属于 tom 的主组jack 就没办法写了。3.2 从创建用户组到授权落地先把用户和组准备好。假设 tom 和 jack 已经存在先创建组再把两个用户加进去groupadd devteam usermod -aG devteam tom usermod -aG devteam jack id tom然后创建项目目录设置所有者和所属组并赋予权限mkdir -p /var/www/app chown root:devteam /var/www/app chmod 2770 /var/www/app ls -ld /var/www/app执行完ls -ld之后你应该看到类似这样的信息drwxrws--- 2 root devteam 4096 Mar 12 10:00 /var/www/app注意中间那一段rws这个s就是 setgid 标志说明设对。如果看到的是rwx没有s说明chmod 2770的 2 被忽略了可能是目录已经存在且后面的770覆盖了前面的2。实际上chmod 2770是一次性设置的正常不会出现这种情况但如果用chmod 770再单独设置 setgid就要注意执行顺序。单独设置 setgid 的命令是chmod gs /var/www/app。接下来让 tom 和 jack 在这个目录里创建一个测试文件验证分组权限是否生效su - tom -c touch /var/www/app/tom_test.txt su - jack -c touch /var/www/app/jack_test.txt ls -l /var/www/app这时候你会看到两个新文件的所属组都是devteam这就验证了 setgid 的作用。如果 jack 能在 tom 创建的文件里写入内容说明组协作正常。3.3 用 ACL 解决“再加一个独立用户”的问题没过几天需求变了来了一个外部顾问ann他只负责看代码不应该有写权限但还要能读。直接在devteam组里加他可以解决问题但他就有了读写权限超出需求。这时候可以用 ACL也就是访问控制列表它允许你给某个单独的用户或组设置额外的权限。首先给/var/www/app目录设置 ACL 默认规则让以后新建的文件都能对 ann 开放读权限setfacl -R -m u:ann:rx /var/www/app setfacl -m d:u:ann:rx /var/www/app第一条命令对当前已有的文件和目录生效第二条设置默认 ACL对之后创建的新文件生效。验证一下getfacl /var/www/app你会看到输出比普通ls -l多出一行user:ann:r-x。如果用ls -l查看目录权限位末尾会多出一个号表示这个文件带有 ACL。需要清除 ACL 时用setfacl -x u:ann /var/www/app删除某一条或者用setfacl -b /var/www/app清空所有 ACL 回到普通权限模式。ACL 是把双刃剑它让权限控制变得更精细但也让权限状态更难一眼看清所以用完一定要记得用getfacl复查。3.4 验证权限与日常维护权限配置完成后不能看一眼就完事一定要用不同身份实际测试。我的习惯是先保持 tom 身份在目录里创建、修改、删除文件确认读写执行都正常再用一个不在 devteam 组的用户试试比如ann或者系统里随便一个其他用户确认访问被拒绝最后检查 setgid 是否生效新建文件所属组是否变成了 devteam。按照最小权限原则还应该定期巡检。我常用下面这条命令查找目录里权限过宽的文件find /var/www/app -perm -ow -type f-perm -ow的意思是匹配所有“其他人可写”的文件。一旦查出结果就要考虑是否把其他人权限收掉。另外一个我在日常运维中吃过亏的地方是用chown修改文件所有者的时候如果不带:直接写chown tom所属组也会被改成 tom 的主组这就是为什么我推荐始终写完整格式chown tom:devteam或chown :devteam。尤其是在批量修改整个目录树的时候写错了会影响所有人的访问权限。4. 权限相关报错与排查实录权限问题到了实际排查环节最常见的就是各种报错和现象。这里我把这几年遇到过的典型问题整理出来包括问题出现的原因、排查思路和解决方式对新手来说应该比单纯背命令更有用。4.1 Permission denied 的几种常见来源看到Permission denied大多数人会下意识认为是权限位的问题但其实来源有很多种。我总结过几个大类第一类是当前用户对文件本身没有权限。这是最常见的比如普通用户去读 root 创建的 600 配置文件。解决办法很简单要么切换用户要么用 sudo要么调整权限。先ls -l看清楚所有者和权限位再决定怎么处理。第二类是 root 也被拒绝这种情况往往和权限位无关了。很可能是 SELinux 在起作用。SELinux 是安全增强模块它有一套基于标签的访问控制即使文件权限是 777SELinux 依然可能拦你。排查方法是用ls -Z查看文件的 SELinux 标签临时测试可以用setenforce 0关掉 SELinux 看看问题是否消失但不建议在生产环境长期关闭。如果确认是 SELinux 的问题正确的做法是调整策略或标签比如chcon -t httpd_sys_content_t 文件路径。第三类是挂载选项导致的问题。比如把移动硬盘或者某个分区挂载到系统时如果挂了noexec参数目录里的任何可执行文件都无法运行看起来像权限不够其实和权限位无关。用mount | grep 挂载点可以查看挂载选项。第四类是文件被加了隐藏属性。Linux 的chattr命令可以给文件设置i属性设置了之后连 root 都改不了、删不掉这是一种很重要的防篡改手段。查看属性用lsattr 文件解除用chattr -i 文件。4.2 用户不在 sudoers 里怎么办很多新手都会遇到这种提示“tom is not in the sudoers file. This incident will be reported.” 意思是当前用户没有 sudo 权限不能执行管理命令。sudo 的配置文件是/etc/sudoers修改它必须使用visudo命令因为 visudo 会在保存前做语法检查改错了保存不了避免把系统搞挂。千万不能直接用 vi 编辑语法错误会导致所有用户无法使用 sudo。给用户加 sudo 权限比较规范的做法是创建一个这个用户的专用配置文件放在/etc/sudoers.d/目录下比直接改主文件更清晰。比如visudo -f /etc/sudoers.d/tom内容写tom ALL(ALL) ALL这一行表示tom 可以在任何主机上以任何用户身份执行任何命令。如果只想让他能用 systemctl 重启服务不给他其他管理权限可以写成tom ALL(root) /usr/bin/systemctl restart nginx, /usr/bin/systemctl status nginx这样权限粒度会更细。生产环境中给太多用户完整 ALL 权限是很危险的事我有一次就是因为图省事给几个同事都配了 ALL后来有人不小心执行了rm -rf /的变种差点把测试库搞掉。从那以后我再分配 sudo 权限都尽量精确到命令。配置完之后用sudo -l查看当前用户实际能执行哪些命令验证配置是否正确。4.3 密码过期、账号锁定与登录受限Linux 账号的密码不是永不过期的尤其在一些安全要求高的环境里。如果你登录时提示密码已过期需要重新设置这其实是系统在做强制改密。用chage -l 用户名可以查看这个账号的密码过期信息包括最后一次修改时间、过期时间、宽限期等。设置密码过期策略用chage -d或chage -M。比如让某个用户九十天后必须改密码chage -M 90 tom-d 0是一个常见的强制手段把密码的最后修改时间设为 0表示用户下次登录必须立刻改密码适合新开户发放初始密码时使用。账号被锁定是另一个高频问题。连续输错密码多次系统可能临时锁定账号。查一下/etc/shadow里对应用户那行的密码字段如果前缀是!说明账号被锁定了如果密码字段是完全空的说明账号没有设置密码无法登录。解锁用usermod -U 用户名。安全起见解锁前先检查一下是不是被暴力尝试导致锁定再决定要不要启用其他防护手段。如果真的登录不上排查顺序建议是先看id或getent passwd 用户名确认账号存在再看/etc/shadow的锁定标记和过期时间再用last查看最近的登录记录。如果服务器开了登录日志可以直接去看/var/log/secure或者/var/log/auth.log里面有明确的拒绝原因。4.4 快速修复“删不掉”或“看不到”的文件遇到文件删不掉、改不了第一步先别急着用各种奇怪的办法按顺序排查。先看文件权限和所有者ls -l就能解决大部分可读可写问题。如果权限显示正常还是删不掉第二步看隐藏属性lsattr 文件如果有i或者a属性用chattr -i 文件去掉。第三步看父目录的写权限很多人会忽略这一点删除文件的权限取决于文件所在目录的写权限而不是文件本身的写权限没有目录写权限就算文件权限是 777 也删不掉。第四步如果还不行考虑挂载选项和 SELinux。还有一个对应“看不到”的问题有时候文件明明存在但ls看不到可能是由于上级目录没有 x 权限只有 r 权限。没有 x 权限你就无法访问目录里的具体文件甚至连文件属性都看不到。这也是为什么目录的 x 权限在很多场景下比 r 权限更关键。4.5 权限问题速查表我把最常见的权限报错和处理方式整理成一张表遇到问题可以对照着排查。现象可能原因排查命令处理思路Permission denied当前用户无权限ls -l用 chmod 调整权限或换用户root 也 Permission deniedSELinux 拦截ls -Z,getenforce调整 SELinux 标签或策略root 也删不掉文件chattr 隐藏属性lsattrchattr -i解除目录进不去缺少目录 x 权限ls -ld 目录给目录加 x 权限文件看不到上级目录缺 x 权限namei -l /path/to/file补目录 x 权限无法执行程序挂载选项 noexec 或文件无 x 权限mount | grep 挂载点恢复 exec 挂载或 chmod x用户不在 sudoers用户无 sudo 授权sudo -l用 visudo 配置授权密码过期无法登录账号密码策略chage -l 用户名用 chage 设置新策略或重置密码账号被锁定多次失败或主动锁定getent shadow 用户名用 usermod -U 解锁这张表并不能覆盖所有情况但它是一个排查思路的起点能帮你把问题定位到正确的方向。5. 不同环境下的权限注意点基础指令和基本权限搞清楚了接下来会碰到各种具体环境里的“变体”。发行版不同、服务不同、虚拟化环境不同权限问题的表现方式也会不太一样但底层逻辑还是那套东西。5.1 发行版选择与国产系统的差异很多新手问我从哪个发行版开始学我的建议是先选一个生态成熟的、资料多的比如 Ubuntu 或 CentOS。Ubuntu 的文档和社区资源丰富很多新出来的开源工具都会优先支持它CentOS 在服务器领域用得广但因为生命周期问题现在更多人转向了 Rocky Linux、AlmaLinux 这类兼容分支。国产操作系统这几年也发展得不错像 openEuler、统信 UOS、麒麟系统在政务和政企项目里见到得越来越多。它们的命令体系和 Linux 标准是一致的学会了 Ubuntu 或 CentOS 上那套切过去基本无缝。不同发行版之间最大的差异不是命令本身而是包管理器。Ubuntu 系用aptCentOS/Rocky 系用dnf或yumopenEuler 也主要用dnf。包管理器负责安装、升级、卸载软件需要 root 权限所以日常操作里sudo apt install xxx或sudo dnf install xxx出现频率很高。如果碰到“找不到包”的情况先检查是否需要执行sudo apt update刷新软件源这一步很多新手会漏掉。装虚拟机的时候有人会把下载的 Linux 镜像放到 VMware 里启动结果蓝屏或黑屏。这里说一个我遇到过的经验蓝屏很可能是虚拟化相关的设置没开对或者虚拟机选的操作系统类型不匹配。解决方案是先在 VMware 的设置里确认“虚拟化 Intel VT-x/EPT 或 AMD-V/RVI”已经勾选同时选对 Linux 版本类型比如 Ubuntu 64 位就要选 Ubuntu 64-bit不要选成其他版本。5.2 Python、Docker 等常见服务的安全权限服务器上装 Python 和 Docker 几乎是绕不开的。先说 Python很多 Linux 发行版自带了 Python 3这是给系统工具用的比如某些包管理脚本依赖它。我踩过最大的坑是直接用sudo pip install去升级系统自带 Python 的库结果把某个系统依赖的库版本给改了导致系统工具崩掉。正确做法是用虚拟环境python3 -m venv myenv创建隔离环境或者用uv、conda这类工具来管理。虚拟环境的好处是你在里面装的任何库都只对这个项目生效不会影响全局。Docker 的权限问题也很经典。安装完 Docker 之后普通用户默认不能用 Docker 命令会提示没有权限访问 docker socket。官方建议是把用户加入docker组sudo usermod -aG docker $USER然后退出重新登录让组关系生效。但这里要额外提醒一句docker 组实际上等同于 root 权限因为能控制 Docker 就等于能操作宿主机上的很多资源。所以不要随随便便把所有人都加进 docker 组在一些安全要求高的环境里甚至不建议创建 docker 组而是每次用sudo docker执行命令。还有容器卷挂载引发的权限问题。工作中经常遇到容器里创建的文件在宿主机上看不到或无法删除的情况这其实是容器内用户 uid 和宿主机用户 uid 不一致导致的。容器里的进程如果以 root 运行创建的文件 owner 可能就是 uid 0而宿主机上的普通用户改不了。解决办法是在运行容器时指定用户参数比如--user 1000:1000或者在挂载卷之后用chown -R把宿主目录的属主改成对应 uid。不要为了方便直接给容器加--privileged参数这会关掉大量安全隔离机制。5.3 几个容易忽略但很实用的权限命令除了 chmod、chown、chgrp 这些基础命令还有几个权限命令我想专门提一下它们能省很多事。lsattr和chattr前面说过是查看和修改文件隐藏属性的。给关键配置文件加上chattr i可以防止被误删或篡改这个在等保场景里也会用到。getfacl和setfacl是 ACL 操作适合处理“一个人需要单独权限”的场景。它们和 chmod 是不冲突的ACL 相当于在传统权限之上叠加了一层更细的控制。umask设置新文件默认权限。如果不想让新建的文件被其他用户读取可以在/etc/profile或~/.bashrc里设置umask 077这样新文件默认只有自己有权访问。这个做法在没有特殊共享需求的环境里很推荐。还有一个跟权限和使用体验相关的命令chage前文已经提过。在账号管理流程里chage -l和chage -M是运维的基础操作。另外last、lastb、faillock这几个命令用来查登录历史和失败记录排查安全问题的时候非常有用。5.4 权限思维的延伸软件也有自己的权限体系操作系统层面的权限搞明白了你会发现在很多软件里说的“权限”其实是同一套思路。比如数据库的行级权限Java 框架中基于角色的访问控制工作流里流程审批后自动给查询人赋权还是用户、角色、授权这三个概念。掌握了 Linux 的用户组和 rwx 权限之后再去看这些框架的权限设计理解起来会快很多。还有一种情况是按需设置使用权比如刚买的商业软件提示某个功能需要获取定位权限或者在 Web 服务里给接口设置 public 访问权限。这些听起来和文件系统权限不太一样但核心都是在回答一个问题谁能在什么条件下去访问什么资源。理解了 Linux 的权限模型相当于掌握了权限设计的通用语言。我在实际使用当中的一个体会是权限配置最理想的境界不是“越放开越好”而是“每人只拿到够用的最小权限”。这个原则放之四海而皆准OS 权限、数据库权限、容器权限、甚至是应用层面的功能权限都适用。很多安全事故不是系统漏洞造成的而是权限配得太宽。学 Linux 没有什么捷径但方向清楚了完全可以少走很多弯路。命令是拿来解决问题的权限是拿来保护系统的把这两点吃透后面再接触任何新工具、新框架你都会有底气。