符号链接无独立权限，其安全取决于目标文件权限与挂载选项；应使用nosymfollow限制解析、bind挂载+nosymfollow隔离路径、避免特权上下文自动解析，并结合XFS projid/ext4 i_version强化审计。
符号链接本身没有独立权限，其访问控制完全取决于目标文件或目录的权限和挂载选项。防范相关风险，关键在于限制符号链接的解析行为、合理配置挂载参数，并避免以特权身份误用。
禁止非特权用户跟随符号链接（nosymfollow）
Linux 5.12+ 内核支持 nosymfollow 挂载选项，可彻底禁用普通用户对符号链接的解析（root 仍可绕过）。适用于共享目录、容器挂载点或临时文件系统：
- 挂载时添加：mount -o nosymfollow /dev/sdb1 /mnt/shared
- /etc/fstab 示例：UUID=xxx /mnt/shared ext4 defaults,nosymfollow 0 2
- 注意：启用后，普通用户执行 ls -l /mnt/shared/link 会报 “No such file or directory”，而非跳转到目标
限制挂载点的符号链接解析范围（mount --bind + nosymfollow 或 shiftfs）
在容器或 chroot 环境中，仅靠 umask 或 chmod 无法阻止符号链接逃逸。推荐组合使用：
- 先 bind 挂载需暴露的子目录：mount --bind /safe/data /chroot/app/data
- 再对该 bind 挂载点单独启用 nosymfollow：mount -o remount,nosymfollow /chroot/app/data
- 替代方案：使用支持路径隔离的文件系统（如 shiftfs，在 Ubuntu 容器中可用），从内核层截断跨根符号链接解析
避免在特权上下文中自动解析符号链接
许多系统服务（如 systemd-tmpfiles、logrotate、备份脚本）默认递归遍历目录。若目录含恶意符号链接，可能触发越权读写：
- logrotate 中添加 su root root 并设置 olddir /var/log/old 时，确保 /var/log/old 不含指向 /etc 或 /root 的链接
- systemd-tmpfiles 使用 -Z（SELinux 上下文）和 --root= 限定作用域，避免 --create 扫描宿主路径
- 自定义脚本中，用 find ... -xdev 排除挂载点，加 -type f -o -type d 跳过符号链接，或显式用 readlink -f 前校验路径前缀
文件系统级加固：XFS 的 projid 与 ext4 的 i_version 配合审计
单纯权限控制不足时，可通过文件系统特性增强可追溯性与隔离性：
- XFS 启用 project quota：xfs_quota -x -c 'project -s myapp' /data；再用 chproj -q myapp /data/app，使所有该目录下新建文件（含符号链接）归属同一 project ID，便于统一监控和配额限制
- ext4 开启 i_version（挂载选项 i_version）：每次符号链接被访问（stat、readlink）都会更新 inode 版本号，配合 inotify 或 auditd 规则（-w /path -p r -k symlink_access）捕获异常解析行为
- auditd 示例规则：-a always,exit -F arch=b64 -S readlinkat -F path=/tmp -k suspicious_symlink
不复杂但容易忽略：符号链接风险不在它自己，而在解析它的上下文。控制谁在哪儿解析、用什么方式解析，比纠结 link 文件的 rwx 更有效。
