setfacl -x 可精准删除指定用户或组的 ACL 条目而不影响其他权限；需先用 getfacl 确认存在对应条目，再执行 setfacl -x u:用户名 或 -x g:组名，支持递归和多条目批量删除，验证用 getfacl 查看是否消失。

用 setfacl -x 可以精准删掉某个用户或组的 ACL 条目，不影响其他权限，也不改动文件所有者、所属组或基础 rwx 设置。

先确认目标用户或组确有ACL条目

运行 getfacl 文件名 查看当前 ACL 列表。如果输出里有类似 user:baduser:r-x 或 group:oldteam:--- 的行，说明该用户/组确实被单独赋权。若权限字符串末尾没 + 号，说明文件系统未启用 ACL，需先检查挂载选项（如 tune2fs -l /dev/sdX | grep acl 或 mount | grep acl）。

执行 -x 删除指定条目

语法固定，只删你明确指定的对象：

• 删单个用户：setfacl -x u:用户名 文件路径
• 删单个组：setfacl -x g:组名 目录路径
• 递归删目录下所有匹配项：setfacl -R -x u:tempuser /var/log/app
• 一次删多个：setfacl -x u:user1 -x u:user2 -x g:teamA script.sh

注意：-x 不会动 mask、default ACL、owner/group/other 权限，也不会影响其他用户的 ACL 条目。

验证是否删干净

再次运行 getfacl 文件名：

• 输出中不再出现 user:用户名: 或 group:组名: 行
• 权限字符串末尾的 + 号是否还在——只要还有别的 ACL 条目（比如其他用户或 default），+ 就保留；全删光了才会消失
• 若想确认该用户现在是否真的按 UGO 规则访问，可用 ls -l 看基础权限，并测试其实际访问行为

别和 -b 混用

-x 是“点删”，-b 才是“清空”：

• setfacl -b 文件 会删掉所有扩展 ACL，只剩 owner/group/other 三段基础权限
• 合规清理通常只需 -x，避免误伤其他协作人员的访问能力
• 误删后无法自动恢复，ACL 不自带备份，操作前建议用 getfacl > backup.acl 留痕