chown命令本身无-C选项；实现“仅真实变更时审计”需结合auditd捕获execve事件，配合wrapper脚本预检uid/gid差异，或用eBPF在内核态比对前后值后触发日志。
Linux 中 chown 命令本身不带 -C 选项（该选项并不存在），你可能是想表达：**仅当文件/目录的实际属主或属组发生真实变更时，才触发审计日志记录**。这需要结合 Linux 审计子系统（auditd）的条件过滤能力来实现，而非依赖 chown 自身参数。
理解“真实变化”与审计触发逻辑
所谓“真实变化”，是指目标文件当前的 uid/gid 与你要设置的值不同。若重复执行 chown user:user file 而 file 已属该用户，则内核不会修改 inode 属主字段，也就不应视为一次有效变更。auditd 默认对所有 chown 系统调用（如 chown、fchown、lchown）都记录，无论是否真有变更。要实现“仅真实变更时记录”，需在审计规则中加入条件判断——但注意：auditd 本身不支持运行时比较文件当前属性和目标属性，因此必须借助外部机制协同实现。
推荐方案：使用 auditd + execve 过滤 + 后处理识别
虽然 auditd 无法直接判断“是否真改了”，但可通过以下组合策略逼近目标效果：
-
只审计 execve 调用中的 chown 命令执行事件：用
-a always,exit -F arch=b64 -S execve -F exe=/usr/bin/chown -k chown_cmd（x86_64）捕获所有chown命令启动，避免内核级系统调用的冗余日志。 -
配合脚本检查实际变更：编写 wrapper 脚本（如
/usr/local/bin/safe-chown）替代原chown，先读取目标文件当前stat，再执行chown，仅当检测到差异时才调用logger或写入自定义审计标记（如ausearch -m avc -i | grep "safe-chown"可关联）。 - 利用 auditd 的 -F auid / -F uid 过滤无关调用：排除 root cron 或 systemd 启动的批量 chown，聚焦交互式或应用层调用，减少噪音。
进阶：用 eBPF（如 bpftrace）实时判断变更
若系统支持 eBPF（5.0+ 内核），可编写更精准的监控：
- 跟踪
sys_chown进入时获取目标 inode 的当前i_uid/i_gid； - 在返回路径中比对传入参数与原值；
- 仅当不等时输出 tracepoint 到 perf buffer 或 ringbuf，并由用户态程序转存为审计格式。
示例 bpftrace 片段（简化）：
tracepoint:syscalls:sys_enter_chown /comm == "chown"/ {
$inode = ((struct dentry*)arg1)->d_inode;
$old_uid = $inode->i_uid.val;
$old_gid = $inode->i_gid.val;
@target_uid = arg2;
@target_gid = arg3;
}
tracepoint:syscalls:sys_exit_chown /comm == "chown" && (@target_uid != $old_uid || @target_gid != $old_gid)/ {
printf("REAL chown: %s uid=%d->%d gid=%d->%d\n", comm, $old_uid, @target_uid, $old_gid, @target_gid);
}
实用建议与注意事项
- 默认 auditd 规则（如
-w /etc/passwd -p wa -k identity）不适用于此场景，它监听的是文件写入，不是属主变更动作本身。 - 不要依赖
inotify或fanotify捕获 chown —— 它们无法区分“调用成功但无实际变更”和“真正修改”。 - 生产环境优先采用 wrapper 脚本 + auditd execve 日志，平衡准确性与兼容性；eBPF 方案适合可控内核版本的新集群。
- 确保审计规则持久化：写入
/etc/audit/rules.d/chown.rules并执行augenrules --load。
