引言：

Linux 的“权限”不是玄学，而是 9 个二进制位组成的守门人。本文用 5 分钟带你拆解 rwx 与 644、755、777 背后的计算逻辑；演示 chmod/chown/chattr 三条命令的 7 个高频场景；再送一张“Permission denied”排查漏斗图，让你遇到报错不再乱给 777。读完你也能把系统文件锁成“只读防弹衣”，又能在自动化脚本里一键解锁-修改-回锁，真正做到“最小权限、最大安全”。

1.权限模型：9 位 → 3 组 → 3 字符

r  read    目录：可列出内容；普通文件：可读取内容  
w  write   目录：可增删子条目；普通文件：可修改内容  
x  execute 目录：可进入（cd）；普通文件：可被内核加载执行  
-  无对应权限

2.最小权限原则：能 640 绝不 777

系统文件（如 /etc/fstab）推荐值
chmod 644 /etc/fstab # root 可写，其余只读
chmod 600 /etc/shadow # 仅 root 可读写
禁止 777，任何用户都能改，等于主动留后门。

3.修改权限：chmod / chown / chgrp

chmod  u=rw,go=r  file      # 符号法，最直观  
chmod  0644        file      # 八进制法，脚本里常用  
chmod  -R 0755     dir/      # 递归目录  
chown  root:wheel   file     # 一次改“属主:属组”  

4.出现 “Permission denied” 时的排查漏斗

1. 看权限位
   ls -l file
2. 看属主属组
   id # 确认自己是谁、属于哪些组
3. 看 ACL（若系统启用）
   getfacl file
4. 看不可变属性
   lsattr file
5. 看 SELinux/AppArmor 上下文（略）

5.不可变属性（chattr / lsattr）

i  immutable    禁止任何修改（含 root）  
e  extent format   extents 格式标志，**不要手动删**，否则可能损坏数据  
a  append only   只能追加，常用于日志防篡改  

sudo chattr -i  file     # 解除保护  
sudo chattr +i  file     # 重新加锁  

# 1. 查看
ls -l  /etc/fstab
lsattr /etc/fstab

# 2. 临时解锁（如要新增挂载项）
sudo chattr -i /etc/fstab
sudo chmod  644 /etc/fstab

# 3. 编辑
sudo vim /etc/fstab

# 4. 校验语法（防止无法启动）
sudo mount -a

# 5. 恢复保护
sudo chmod  644 /etc/fstab
sudo chattr +i /etc/fstab