%G比%g更适合RBAC核查，因其输出可读组名（如developers）而非数字GID，能与RBAC模板中的字符串策略直接比对，避免因GID重用或跨系统不一致导致误判。
直接用 stat -c "%G" 就能输出文件所属组的名称（不是 GID 数字），这是核对 RBAC 模板中“组权限映射”是否准确的关键一步。
为什么 %G 比 %g 更适合 RBAC 核查
%G 输出的是组的**可读名称**（如 developers、finance-audit），而 %g 输出的是数字 GID（如 1002）。企业 RBAC 模板中定义的访问策略，几乎全部基于组名（例如：“finance-audit 组可读 /shared/financial-reports”），而非 GID。用 %G 才能做字符串级比对，避免因 GID 重用、迁移或跨系统不一致导致误判。
批量检查多个文件并比对 RBAC 模板
假设你有一份 CSV 格式的 RBAC 模板，其中一列是“允许访问的组名”，你可以这样验证实际文件归属是否匹配：
- 提取目标目录下所有文件的所属组名：
find /shared/docs -type f -exec stat -c "%n,%G" {} \; > actual_groups.csv - 用
grep或awk快速筛查是否存在非模板组：cut -d, -f2 actual_groups.csv | sort -u | grep -v -F -f rbac-allowed-groups.txt（rbac-allowed-groups.txt是你从模板中提取出的合法组名单） - 发现异常组后，用
getent group <groupname>确认该组是否真实存在且未被废弃
注意符号链接与挂载点的陷阱
stat -c "%G" 默认解析**符号链接本身**的所属组，不是它指向的目标。RBAC 审计通常关注的是最终访问对象，因此：
- 加
-L参数解析链接目标：stat -Lc "%G" symlink_to_report.pdf - 若文件位于 NFS 或 CIFS 挂载点，确保客户端已正确映射远程组名（检查
/etc/idmapd.conf和域配置），否则 %G 可能显示为nobody或数字 ID - 容器环境（如 Pod 中的 volume）需确认宿主机与容器内 /etc/group 同步，或使用
stat --printf配合nsenter进入命名空间检查
结合 find + stat 做合规快照存档
定期生成带时间戳的组归属快照，用于审计追踪：
datestamp=$(date +%Y%m%d); find /apps -type f -printf "%p," -exec stat -c "%G" {} \; > rbac-snapshot-${datestamp}.csv- 后续可用
diff对比两次快照，识别组归属变更（如敏感目录被意外改属新组） - 配合
sha256sum对快照文件签名，满足等保或 ISO 27001 的证据留存要求
