Linux ACL是对传统ugo权限的关键补充，而非替代；它通过叠加细粒度规则（如user:、group:）解决单个用户/组需独立权限的问题，依赖mask字段限制实际生效权限，并以+号标识启用状态。
Linux ACL 不是替代传统权限的“新标准”，而是对 ugo 模型的关键补充。它解决的是“单个用户/组需要独立于所属关系的特定权限”这一类问题，比如让非组员只读某个项目目录、为审计人员临时开放日志查看权、或给协作方精确控制子目录权限。用得好，ACL 能大幅降低权限过度授予的风险。
ACL 的核心逻辑与生效规则
ACL 并不推翻原有权限结构，而是在其之上叠加一层更细粒度的规则。系统在判断一个用户是否有某项操作权限时，会按顺序检查：
- 是否为文件所有者 → 用 user:: 权限
- 是否匹配某条 user:username: 规则 → 用该条规则
- 是否属于文件所属组或某条 group:groupname: 规则 → 用最宽松的匹配项
- 最后才看 group:: 和 other:: 权限
特别注意 mask 字段：它像一道“权限天花板”，所有非所有者、非其他用户的 ACL 条目（包括 user: 和 group:）实际生效权限不能超过 mask 所定义的范围。setfacl 自动维护 mask，但手动修改 ugo 权限时可能意外收紧 ACL 效果。
常用 setfacl 操作与典型场景
设置 ACL 的关键是明确目标对象和权限意图。以下是最常遇到的几种情况及对应命令：
-
给单个用户加读权限（不影响原组权限）：
setfacl -m u:alice:r /data/report.txt -
给某组加读写执行（仅限该目录本身）：
setfacl -m g:devs:rwx /var/www/html -
让新建文件自动继承父目录的 ACL 规则：
setfacl -d -m g:admins:rx /shared/docs（-d 表示 default，只对目录有效） -
批量清理并重设——先清空再配置：
setfacl -b /path; setfacl -m u:bob:rw,g:team:r /path
执行后，ls -l 输出末尾会出现 + 符号（如 -rw-rw-r--+ 1 user group ...），这是 ACL 已启用的直观提示。
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
排查与验证 ACL 是否真正生效
光设了不等于起效。验证分三步：
-
查结构：用
getfacl /target看完整规则列表，确认 user:xxx 和 mask 值是否符合预期 -
换身份测试：用
sudo -u alice cat /data/report.txt直接模拟目标用户行为，比单纯看权限位更可靠 -
注意继承陷阱：default ACL 只影响新创建的子项，已有文件不受影响；如需同步，加
-R递归设置，但慎用于生产环境大目录
常见失效原因包括：文件系统未启用 acl 挂载选项、mask 被 chmod 意外修改、目标用户不在系统中（setfacl 不报错但无效）。
生产环境使用 ACL 的实用建议
ACL 强大，但也容易误用。几个关键提醒：
-
默认 ACL 是双刃剑：设了
setfacl -d后，所有新建文件/目录都会带该规则，但普通文件默认无 x 权限，所以 default group:devs:rwx 对新建文件实际只生效 rw（x 被忽略），这点必须心里有数 - 避免过度依赖 user: 规则：大量 user: 条目会让 getfacl 输出冗长难维护，优先考虑通过合理分组 + group: 规则来管理
-
备份与迁移需额外处理：tar 默认不存 ACL，要用
tar --acls参数；rsync 需加-X才能同步 ACL - 和 SELinux 共存时保持清醒：ACL 控制 DAC（自主访问控制），SELinux 控制 MAC（强制访问控制），两者都拒绝才会真正禁止访问，调试时需分别检查
ACL 不复杂，但容易忽略细节。真正用起来，关键是理解它“叠加而非替代”的定位，以及 mask 和 default 的隐含行为。
