安全修正生产环境ACL需分步：先用getfacl-R检查真实状态与mask约束，再用-b清扩展ACL或-x精准删条目，设默认ACL时必加-d和--mask，最后验证文件系统是否启用acl并备份策略。
直接用 setfacl -R --mask 不能“安全修正最高权限限制”，它只是重算 mask，不改变已有 ACL 条目本身。真正安全修正生产环境混乱 ACL 的核心是：先明确目标权限边界，再分步清理、设默认、刷新掩码，全程避免权限扩大或误删。
确认当前 ACL 真实状态与 mask 实际约束
运行 getfacl -R /path/to/dir | head -n 30 查看典型条目，重点关注三处：
-
每项 user/group 后面的权限是否被 mask::xxx 显式截断（例如显示
user:alice:rwx但mask::r--，则 alice 实际只有读） -
是否存在大量未清理的 default ACL（以
default:开头），它们会持续影响新文件，但对旧文件无效 - 是否有重复、冲突或过期用户的条目（如已离职用户、测试账号）
分阶段清理：先去冗余，再控继承
不要一步到位。优先执行最小扰动操作：
- 清空所有扩展 ACL（保留基础 owner/group/other）：
setfacl -b /path/to/dir—— 这不会改 chmod 权限，只删 ACL 扩展项 - 若需保留部分用户权限，用
-x精准删除特定条目：setfacl -x u:olduser,g:legacygroup /path/to/dir - 删除默认 ACL（防止后续新建文件继承错误权限）：
setfacl -k /path/to/dir
重建时强制统一 mask 边界
重建 ACL 必须带 --mask，让 setfacl 自动重算并收紧有效权限上限：
- 给目录设用户权限并同步更新 mask：
setfacl -R -m u:deploy:rwx --mask /app/deploy - 设默认 ACL（仅对目录）且立即生效于未来文件：
setfacl -d -m u:monitor:rx --mask /app/logs - 若需严格限定所有非所有者权限最大为
r-x，可显式指定：setfacl -R --mask -m m::r-x /app/data
验证与固化：避免重启后失效
最后两步决定是否真落地：
- 检查文件系统是否启用 acl：
tune2fs -l $(findmnt -n -o SOURCE /app) | grep "Default mount options"，输出必须含acl - 若无，需在
/etc/fstab对应行 options 加acl，再执行mount -o remount /app - 备份当前策略供回滚：
getfacl -R /app > /backup/acl-$(date +%F).bak
不复杂但容易忽略：mask 不是配置项，而是运行时生效的权限闸门；–R 和 –mask 必须配合使用，否则递归设置的用户权限可能被旧 mask 锁死。
