最小权限控制的核心是只给用户完成任务所必需的最低权限；chmod控制读/写/执行访问模式，chown控制文件所有者与所属组，二者配合实现按需授权，结合umask和ACL可保障持续安全。

最小权限控制的核心是：只给用户完成任务所必需的最低权限，不额外开放读、写、执行或所有权变更能力。chmod 控制访问模式（谁可以读/写/执行），chown 控制归属（谁拥有文件、属于哪个组）。二者配合使用，才能真正实现“按需授权”。

明确身份角色与最小权限原则

在设权限前，先厘清三个关键身份：

• 文件所有者（user）：通常是创建者，一般需要读写，有时需执行（如脚本）
• 所属组（group）：协作成员，通常只需读（或读+执行），极少需要写
• 其他用户（others）：非所有者也非组员，默认应禁止访问（即权限为 0）

例如 Web 服务中，网站代码目录的所有者是部署用户（如 deploy），Web 服务器进程（如 www-data）属于特定组，访客不应有本地文件系统访问权——这就决定了 others 权限应为 ---（即 0）。

用 chmod 设置精确的八进制权限

避免使用 chmod 777 或 chmod 755 这类宽泛值，而是按角色逐位计算：

• 所有者：rwx = 4+2+1 = 7（脚本）、rw- = 6（配置文件）、r-- = 4（只读资源）
• 所属组：r-x = 5（可读可执行，如 Web 目录）、r-- = 4（仅读）、--- = 0（完全禁止）
• 其他用户：通常用 0，极少数公开只读场景可用 4（r--）

典型安全组合示例：

• chmod 640 config.ini —— 所有者可读写，组内只读，其他人无权访问
• chmod 750 /var/www/app —— 所有者全权，组内可进入和执行（如运行 PHP），其他人被拒
• chmod 600 ~/.ssh/id_rsa —— 仅所有者可读写，SSH 密钥必须如此

用 chown 合理划分归属关系

所有权不是越集中越好，而是按职责拆分：

• 敏感文件（如密码文件、私钥）归单一运维用户，且组设为 nogroup 或专用空组，再配 chmod 600
• 协作目录（如 Git 仓库工作区）设为 deploy:devteam，再用 chmod 770 或更严的 750，避免组员误删
• Web 可写目录（如上传目录）设为 www-data:www-data，但限制父目录不可写，且用 chmod 750 防止其他用户遍历

注意：chown user:group file 同时改用户和组；chown :group file 只改组；chown -R 递归操作要格外谨慎，建议先 ls -l 确认范围。

配合 umask 与默认 ACL 实现持续控制

单次 chmod/chown 不足以维持最小权限，需源头控制：

• 设置用户级 umask 007（在 ~/.bashrc 中），使新文件默认权限为 660、新目录为 770，自动排除 others
• 对复杂协作场景，用 setfacl 补充细粒度控制，比如允许某开发人员临时读取日志：setfacl -m u:alice:r /var/log/app.log，而不提升组权限
• 定期检查异常权限：find /path -type f -perm /002 -ls 找到所有对 others 可写的文件，及时修正

不复杂但容易忽略