大规模文件权限修正需分策略推进：先用find区分目录（-type d）设755、文件（-type f）设644，避免chmod -R混淆二者导致安全风险或访问异常；可选大写X（a+X）安全补执行位；操作前应预览、锁定、审计并采用白名单机制确保精准可控。
大规模文件权限修正不是“chmod -R 一遍完事”，关键在避免误伤、留痕可溯、分层控制。直接递归设权容易让配置文件变可执行、目录丢执行位、敏感文件暴露，必须分策略推进。
先筛再改：用 find 区分目录和文件设不同权限
目录必须有 x 才能进入和遍历，文件通常不需要 x（除非是脚本或二进制）。统一用 -R 会混淆二者，导致无法访问或安全告警。
- 给所有子目录设 755（rwxr-xr-x）：find /path/to/dir -type d -exec chmod 755 {} \;
- 给所有普通文件设 644（rw-r--r--）：find /path/to/dir -type f -exec chmod 644 {} \;
- 执行前加 -print 预览匹配项：find /path/to/dir -type f -print | head -n 5
用大写 X 安全补执行位
如果已有部分脚本或目录缺 x，但又不想给所有文件加执行权，用大写 X 最稳妥——它只作用于目录，或原本就有 x 的文件。
- 仅给目录和已有执行权的文件加 x：chmod -R a+X /path/to/dir
- 组合设定更清晰：chmod -R u=rwX,g=rX,o=rX /path/to/dir
- 注意：X 不影响权限为 600、640 这类无 x 的普通文件
锁定+审计：防止误操作与事后追责
批量操作期间，得防其他进程干扰，也得留下完整操作记录。
- 维护前挂载只读：mount -o remount,ro /target/filesystem
- 核心目录加不可变锁：chattr +i /etc/myapp /boot
- 开启权限变更审计：echo "-a always,exit -F arch=b64 -S chmod,fchmod,fchmodat -k perms" > /etc/audit/rules.d/perms.rules && systemctl restart auditd
- 查操作日志：ausearch -k perms --start today | grep "chmod"
最小权限白名单+预演机制
不盲目扫整个目录树，而是聚焦真正需要调整的路径，且执行前确认效果。
- 建白名单文件 whitelist.txt，每行一个路径，如：/var/www/html/.env /etc/app/config.yml
- 预览将发生的变更：xargs -a whitelist.txt -p chmod 600
- 确认无误后执行：xargs -a whitelist.txt chmod 600
- 敏感路径优先用 ACL 单独授权，而非全局 chmod：setfacl -m u:deploy:r-- /etc/app/secrets.yml
