Linux挂载选项不直接设文件权限，但通过acl、noexec、nosuid、nodev等特性在内核层约束权限语义：acl启用细粒度授权，noexec禁执行，nosuid禁特权提升，nodev禁设备文件，组合使用可显著强化安全边界。
Linux 文件系统挂载选项本身不直接设置“文件权限”，但能显著影响权限行为、安全边界和访问控制效果。真正起作用的是挂载时启用的特性（如 acl、noexec、nosuid、nodev），它们在内核层面约束了后续所有文件操作的权限语义。
启用 ACL 支持：让 setfacl 生效的前提
标准 Linux 权限（ugo）只有三组，无法满足多用户协作或细粒度授权需求。ACL 是扩展机制，但必须先确保文件系统挂载时启用了 acl 选项：
- 临时启用：运行 sudo mount -o remount,acl /（替换 / 为实际挂载点，如 /home）
- 永久生效：编辑 /etc/fstab，在对应分区行的 options 字段添加 acl，例如：
UUID=abcd1234 /home ext4 defaults,acl 0 2 - 验证是否生效：执行 mount | grep "$(df . | tail -1 | awk '{print $1}')" | grep acl，输出含 acl 即表示已启用
限制执行与特权：用挂载选项加固安全边界
即使文件有 x 权限，也可通过挂载选项禁止其被解释为可执行代码或提升权限——这对临时目录、共享存储尤其关键：
- noexec：禁止在该挂载点下执行任何二进制或脚本（chmod +x 无效）。适用于 /tmp、/var/tmp、NFS 共享目录
- nosuid：忽略文件的 setuid/setgid 位。防止普通用户通过 /usr/bin/passwd 类程序提权，或绕过权限检查
- nodev：禁止识别设备文件（如 /dev/sda）。常用于用户主目录挂载，避免创建恶意设备节点
- 组合使用示例：mount -o remount,noexec,nosuid,nodev /tmp
优化访问行为：noatime 与 barrier 的权限隐含影响
某些挂载选项虽不改变权限位，却直接影响“谁能在何时做什么”——特别是对时间戳和数据一致性的控制：
- noatime：禁用访问时间（atime）更新。避免普通用户通过频繁读取触发大量元数据写入，间接降低 I/O 权限争用，提升高并发场景下权限判断的响应稳定性
- barrier=1（ext4 默认）或 barrier=0：控制写屏障是否启用。禁用后可能加快写入，但断电时易导致 ACL 条目、权限位等元数据损坏或回滚不一致
- 生产环境建议保留 barrier=1 和 data=ordered，确保权限变更原子生效
实战配置：一个安全的用户主目录挂载方案
以 /home 为例，兼顾协作性、安全性与可靠性：
- 在 /etc/fstab 中配置：
UUID=efgh5678 /home ext4 defaults,acl,noexec,nosuid,relatime 0 2 - 说明：
• acl 支持团队成员细粒度授权
• noexec/nosuid 防止用户主目录下运行恶意程序或提权
• relatime（比 noatime 更兼容）减少 atime 更新开销，同时保留部分审计能力 - 生效后立即测试：
sudo mount -o remount /home
touch /home/test && chmod +x /home/test && /home/test → 应报错 Permission denied
