Linux ACL默认权限和掩码是权限生效的关键机制：默认ACL仅对新文件/目录生效且仅目录可设；掩码是所有非属主、非other条目的权限上限，chmod会自动重算mask。

Linux ACL 默认权限和掩码不是可选配置，而是决定权限是否真正生效的关键机制。很多权限“设了却没用”，问题往往出在默认规则未配或掩码被忽略。

默认ACL只对新文件/目录生效

在目录上设置 default ACL（用 -d -m），是为了让后续创建的文件和子目录自动继承权限。它不会改变已有内容的权限。

• 正确写法：setfacl -d -m u:deploy:rwx /data/shared
• 效果：之后在 /data/shared 下新建的文件，属主 deploy 自动获得 rwx；新建目录还会继承 default 规则本身
• 注意：普通文件不支持 default ACL，只有目录可以设；若目录已存在但没设 default，老文件不会“突然获得”新规则

掩码（mask）是实际权限的天花板

ACL 中的 mask 控制所有非属主、非other条目的最大有效权限。哪怕你给用户设了 rwx，只要 mask 是 r-x，实际就只能读和执行。

• 查看时，getfacl 输出中 mask::r-x 这一行就是当前限制
• 修改 mask 的常用方式：setfacl -m m::rwx /path（显式提升上限）
• 更稳妥的做法：执行 setfacl -R -m u:jenkins:rwx /path 后，再运行 setfacl -R -m m::rwx /path，确保 mask 跟得上新增权限
• 特别提醒：chmod 修改组权限会自动重算 mask，比如 chmod 775 dir 可能把 mask 改成 rwx，而 chmod 755 dir 会压低到 r-x

默认ACL + 掩码组合配置示例

想让一个共享目录既支持团队协作，又保障新文件自动有合理权限，推荐这样操作：

• 先设好基础权限：chmod 2770 /srv/project（SGID 确保新建文件属组一致）
• 添加默认 ACL：setfacl -d -m u:dev:rwx,g:qa:rx /srv/project
• 同步更新 mask：setfacl -m m::rwx /srv/project（否则 dev 和 qa 的权限可能被截断）
• 验证：getfacl /srv/project 应同时看到 default:user:dev:rwx 和 mask::rwx

常见失效场景与检查点

权限看似设了却不生效？优先排查这三项：

• 目标是不是目录？-d 参数只对目录有效，对文件使用会静默失败
• 是否漏掉 mask？用 getfacl 看输出里有没有 #effective: 字样——有就说明某条权限被 mask 削弱了
• 新建测试文件验证 default：在目录里 touch test.txt，再 getfacl test.txt，确认其 ACL 是否含预期的 default 条目