先定位、再验证、后收紧：用find扫描全局可读配置文件，grep确认敏感内容，chmod 600收紧权限，install -m 600预防新建风险。
新手排查和修复配置文件中全局可读的敏感密码信息，核心是“先定位、再验证、后收紧”，不靠猜，靠命令直击问题。
一、快速定位哪些配置文件被设成了全局可读
全局可读（other-readable）意味着任何普通用户都能用 cat 或 less 直接查看内容，这对含密码、密钥、API Token 的配置文件极其危险。用以下命令一键扫描常见路径：
- 查所有全局可读的普通文件： sudo find /etc /opt /var/www /home -type f -perm /o+r 2>/dev/null | head -20 （加 2>/dev/null 屏蔽权限不足提示；head -20 防止刷屏）
- 聚焦高危目录下的配置文件： sudo find /etc -name "*.conf" -o -name "*.cfg" -o -name "*.yml" -o -name "*.env" -o -name "config*" -perm /o+r 2>/dev/null
- 特别盯住 Web 应用常用位置： sudo find /var/www -name "*.php" -o -name "*.py" -o -name "settings.py" -perm /o+r 2>/dev/null
二、人工确认文件里是否真有敏感信息
找到文件不等于就有风险，得验证内容。别直接 cat 整个文件——万一它很大或含二进制内容会卡终端。推荐安全查看方式：
linux-sysadmin
下载
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
- 用 grep 快速搜关键词（大小写不敏感）： grep -i -E "(password|passwd|secret|token|api_key|db_pass)" /path/to/file
- 只看前10行 + 后5行，避开中间大段日志或注释： head -10 /path/to/file && tail -5 /path/to/file
- 如果文件是 .env 类型，直接检查是否以明文暴露了 DB_PASSWORD=xxx 或 JWT_SECRET=xxx
三、立即收紧权限，杜绝未授权读取
确认含敏感信息后，必须立刻改权限。原则就一条：仅所有者可读写，其他用户完全无权访问。
- 对单个文件： sudo chmod 600 /path/to/sensitive.conf （600 = rw-------，最安全基础值）
- 对整个配置目录（如 /etc/myapp/）： sudo chmod 700 /etc/myapp （700 = rwx------，禁止他人进入目录，也就无法列文件或读取）
- 顺手检查并修正所有者： sudo chown root:root /path/to/file （避免文件属于普通用户却权限宽松）
四、建立简单习惯，防止问题复发
新手最容易在新建配置文件时忘记设权限。两个小动作就能长期避坑：
- 创建新配置文件时，**不要用 touch + echo**，改用带权限的一次性创建： sudo install -m 600 /dev/null /etc/myapp/secrets.conf （install -m 600 确保从创建起就是安全权限）
- 把定期检查变成 cron 任务（每周一次）： sudo crontab -e → 加入： 0 2 * * 0 find /etc -type f -perm /o+r -exec ls -l {} \; >> /var/log/perm-audit.log 2>&1
