setfacl --test 可预览ACL修改效果而不更改权限，完整校验用户/组存在性、文件系统支持、mask计算与继承逻辑，并打印拟应用规则，返回码恒为0，适合自动化安全预检。

直接用 setfacl --test 可以在不改动任何文件权限的前提下，预览 ACL 修改效果。这对线上服务特别关键——避免因误配权限导致服务中断、脚本失败或安全漏洞。

什么是 --test 模式

它让 setfacl 执行完整解析流程：校验用户/组是否存在、检查文件系统是否支持 ACL、计算 mask 值、判断继承逻辑是否生效，最后把拟应用的 ACL 规则全部打印出来，但不做任何持久化写入。

返回状态码始终为 0（成功），不会触发错误退出，适合嵌入自动化脚本做安全预检。

典型预演场景与操作方式

比如要给运维组 ops 增加对 /var/log/app/ 的读写权限，并让新创建的日志文件自动继承该权限：

• 先确认目录当前 ACL：getfacl /var/log/app
• 运行测试命令：setfacl --test -m g:ops:rwx -d -m g:ops:rwx /var/log/app
• 输出会清晰列出：
  • 原 ACL 条目（含 owner/group/other）
  • 新增的 group:ops 条目
  • 默认 ACL（default）条目（仅对目录有效）
  • 自动推导出的 mask 值（如 mask::rwx）

结合 getfacl 验证权限生效逻辑

--test 不显示“有效权限”（effective permissions），而实际访问时系统会按规则顺序匹配并受 mask 限制。所以建议搭配以下步骤验证真实行为：

• 用 getfacl 查看目标文件，注意每行末尾的 # effective: r-x 注释——这才是用户最终能行使的权限
• 对关键路径下的典型文件（如已存在的日志、新建的空文件）分别运行 getfacl，确认默认 ACL 是否正确继承
• 若涉及符号链接，加 -P（跳过链接）或 -L（跟随链接）再测一次，避免路径解析偏差

上线前的安全检查清单

执行正式 setfacl 前，用 --test 快速核对：

• 用户名或组名拼写是否正确（尤其大小写、特殊字符）
• 权限字符串是否符合预期（rwx 顺序无关，但 rw- 和 r-w 效果不同）
• 是否误用了 -d（默认 ACL）到普通文件上（会被忽略且无提示）
• 递归操作 -R 是否配合了 --test，防止意外覆盖深层子目录
• mask 值是否被合理重算（如添加新用户后，原有 group 权限可能被 mask 截断）