ฉันจะใช้สิทธิ์ 701 เพื่อป้องกันไม่ให้ผู้ใช้ในกลุ่มเดียวกันยุ่งกับข้อมูลของกันและกันได้หรือไม่

ก่อนหน้านี้ฉันได้เรียนรู้ว่าการกำหนดผู้ใช้ทั้งหมดให้อยู่ในกลุ่มเดียวกันและการตั้งค่า 701 ให้กับโฮมไดเร็กทอรีของพวกเขาป้องกันไม่ให้พวกเขายุ่งกับข้อมูลของกันและกัน แต่อนุญาตให้โปรแกรมระบบ เช่น เว็บเซิร์ฟเวอร์ เข้าถึงข้อมูลได้

ผมจึงสร้างกลุ่ม ผู้ใช้ จากนั้นผู้ใช้สองคน อลิซ:ผู้ใช้ และ บ๊อบ: ผู้ใช้ กับ /opt/www/อลิซ และ /opt/www/บ็อบ ไดเรกทอรีบ้านตามลำดับ จากนั้นหลังจากเข้าสู่ระบบภายใต้ อลิซ ฉันไม่สามารถเข้าไปได้ /opt/www/บ็อบ และในทางกลับกัน.

สำหรับฉันแล้ว ดูเหมือนว่าสิทธิ์จะไม่ได้รับการตรวจสอบสำหรับทุกประเภท (ผู้ใช้ กลุ่ม หรือทุกคน) เสมอไป แต่จะค่อย ๆ หยุดลงหลังจากการจับคู่เชิงลบ นั่นคือในกรณีของฉัน

• เมื่อผู้ใช้จากกลุ่มเดียวกันพยายามเปิดไดเร็กทอรี:
  • อันดับแรก เรากำลังตรวจสอบผู้ใช้ มันไม่เหมือนกันแต่ 7 ให้เราก้าวต่อไป
  • แล้ว 0 หยุดไม่ให้เราเข้าถึงไดเร็กทอรี และยังหยุดการตรวจสอบสิทธิ์เพิ่มเติมอีกด้วย
  • เราจึงไม่ตกอยู่ในกรณี x-for-everyone จาก 1
• ในขณะที่ผู้ใช้จากกลุ่มอื่น:
  • อันดับแรก เรากำลังตรวจสอบผู้ใช้ มันไม่เหมือนกันแต่ 7 ให้เราก้าวต่อไป
  • แล้วเราก็กำลังตรวจสอบกลุ่มอยู่นั่นเอง 0 แต่คนละกลุ่มเลยให้ผ่านครับ
  • ดังนั้นเราจึงสามารถเปิดไดเร็กทอรีได้ด้วย 1 เป็น "ทุกคน" ในไดเร็กทอรีนี้

การคาดเดานี้ถูกต้องหรือไม่? ฉันสามารถพึ่งพาพฤติกรรมนี้ได้หรือไม่? ข้อเสียที่เป็นไปได้จากการตั้งค่านี้คืออะไร

ฉันคิดว่าคุณเข้าใจผิดเล็กน้อย แต่ผลลัพธ์ก็เหมือนเดิม 701 หมายความว่า:

• ผู้ใช้ที่ทำเครื่องหมายว่าเป็นเจ้าของจะได้รับสิทธิ์เต็มที่ 7
• ผู้ใช้ในกลุ่มที่ทำเครื่องหมายว่าเป็นเจ้าของกลุ่มไม่ได้รับสิทธิ์ 0
• ทุกคนได้รับสิทธิ์ดำเนินการ 1

ดังนั้นหากเจ้าของ & สิทธิ์บน /opt/www/บ็อบ เป็น บ๊อบ: ผู้ใช้ และ 701 ตามลำดับแล้ว บ๊อบ ได้รับสิทธิ์อย่างเต็มที่และทุกคนสามารถ 'ดำเนินการ' ไดเร็กทอรีได้ ซึ่งหมายความว่าทุกคนจะสามารถเข้าถึงไฟล์ของตนเองหรือไฟล์ของกลุ่มภายในโฟลเดอร์ได้ แต่ไม่สามารถแสดงรายการเนื้อหาได้

ตัวอย่าง:

$> การทดสอบ mkdir
$> echo 'foo' > ทดสอบ/foo.txt
$> ทดสอบ chmod 100/
$> ls -l ทดสอบ/
ปฏิเสธการอนุญาต
$> การทดสอบแมว/foo.txt
ฟู
$>

ใช่ ผู้ใช้รายอื่นในกลุ่มจะไม่มีสิทธิ์ แต่ทุกคนมีสิทธิ์ดำเนินการ คุณควรตั้งค่าการอนุญาตเป็น 740 ถ้าคุณต้องการอนุญาตให้กลุ่มอ่านและไม่มีใครอื่น หรือ 741 เพื่อให้บรรลุสิ่งที่คุณมี แต่ชัดเจนกว่านี้หน่อย?