Umask是通过屏蔽系统默认权限来控制新文件目录初始权限的安全机制，以八进制表示，数值越大越保守；生产推荐全局设为027或077，可通过/etc/login.defs、PAM等多层配置实现，并需验证与监控。
Umask（用户文件创建掩码）是控制新创建文件和目录默认权限的关键机制。它不直接赋予权限，而是从系统最大默认权限中“屏蔽”掉对应位，从而降低初始暴露面——这是提升初始化安全最轻量、最底层的实战手段之一。
理解Umask数值逻辑与安全影响
Umask以八进制表示（如022、002、077），三位分别对应属主、属组、其他用户的“禁止位”。例如：
- 目录默认最大权限为777 → umask 022 → 实际创建权限为755（即 drwxr-xr-x）
- 文件默认最大权限为666 → umask 022 → 实际创建权限为644（即 -rw-r--r--）
- umask 077 则彻底屏蔽组和其他用户访问，文件变为600，目录变为700
关键点：umask越小，初始权限越宽松；越大（尤其末三位高），越保守。生产环境建议从027或077起步，避免敏感配置文件被组内或全局可读。
全局Umask设置：/etc/login.defs 与 /etc/bash.bashrc
对所有新用户生效的umask应设在系统级配置中：
- 编辑 /etc/login.defs，查找或添加 UMASK 027（推荐值，兼顾可用性与隔离）
- 若使用bash作为默认shell，也可在 /etc/bash.bashrc 末尾追加 umask 027（注意仅对交互式bash生效）
- 修改后新建用户自动继承；已有用户需重新登录或重启shell才生效
用户级Umask强化：~/.bashrc 与 PAM 模块
对高敏账户（如数据库管理员、运维账号）可叠加更严策略：
- 在用户家目录的 ~/.bashrc 中添加 umask 077，覆盖全局设置
- 通过PAM统一管控：编辑 /etc/pam.d/common-session，添加一行：
session optional pam_umask.so umask=0077 - PAM方式优先级更高，且对su、sudo -i等场景也生效，适合合规审计环境
验证与持续防护要点
设置不是一劳永逸，需验证+监控：
- 执行 umask 查看当前会话值；用 touch test && ls -l test 确认文件权限是否符合预期
- 注意脚本执行环境：非交互式shell（如crond调用的脚本）可能不加载.bashrc，需在脚本开头显式声明 umask 027
- 配合 find /home -type f -perm -o+r -ls 定期扫描越权文件，形成闭环
Umask是权限纵深防御的第一道闸门，不增加运行开销，却能显著压缩初始攻击面。真正有效的安全，往往藏在这些看似枯燥的默认值里。
