Linux中组权限是团队协作管理文档最常用、最稳妥的方式，核心是将用户加入同一组、设置目录属组为该组并启用SGID位，配合umask 002确保新建文件默认可被组内成员读写。
Linux 中的组权限是团队协作管理文档最常用、最稳妥的方式。核心思路是：把人放进同一个组，再让文档归属这个组，并赋予组内读写权限——这样既不用共享账号，也不用反复改单个用户权限。
创建协作组并添加成员
先建一个专用于文档协作的组，比如 docs-team：
- sudo groupadd docs-team 创建组
- sudo usermod -aG docs-team alice 把用户 alice 加入该组（-aG 表示“追加到附加组”，不覆盖原有组）
- sudo usermod -aG docs-team bob 同样加入 bob
- 用 groups alice 或 id alice 确认是否生效（新组成员身份在下次登录或 newgrp docs-team 后才立即可用）
设置共享目录与默认组继承
协作通常围绕一个目录展开，比如 /srv/docs。关键是要让这个目录下新建的文件自动属于 docs-team 组：
- sudo mkdir -p /srv/docs
- sudo chgrp docs-team /srv/docs 把目录所属组设为 docs-team
- sudo chmod 2775 /srv/docs —— 这里 2 是 setgid 位，确保新文件继承父目录组；775 表示所有者和组可读写执行，其他人仅可读可执行（对目录来说，“执行”=可进入）
调整文件默认权限（umask）与细粒度控制
普通用户新建文件默认是 644（即组不可写），这会破坏协作。可在用户 shell 配置中统一调整：
- 编辑 ~/.bashrc 或 /etc/profile.d/docs-umask.sh，加入：
umask 002（让新文件默认为 664，新目录为 775） - 若需更灵活控制（如只给某几个用户额外权限），可用 ACL：
setfacl -m g:docs-team:rwx /srv/docs
setfacl -d -m g:docs-team:rwx /srv/docs（-d 表示默认 ACL，作用于后续新建项）
验证与日常维护要点
协作能否跑通，重点看三点是否一致：用户在组里、文件属组正确、权限位允许组操作。
- 检查文件属组：ls -ld /srv/docs 和 ls -l /srv/docs/report.md
- 确认用户实际所属组：id -nG $USER（显示当前用户所有组名）
- 注意：修改组成员后，用户需重新登录或运行 newgrp docs-team 才能立即获得组权限
- 避免直接用 chmod 777 或把用户加进 root 组——违背最小权限原则
