Linux挂载时通过mount命令的-o参数指定权限与安全选项，如rw/ro、noexec、nosuid、nodev、uid/gid、umask、acl等，可控制读写、执行、提权、设备访问及默认权限，并支持fstab永久配置与验证。
Linux 挂载时指定访问权限与安全选项，核心是通过 mount 命令的 -o（options）参数传入控制行为的挂载选项。这些选项既影响文件系统可见性（如读写/只读），也直接约束用户对其中内容的访问能力（如执行、SUID、设备访问等），部分还能配合后续权限机制（如 ACL）生效。
常用权限与安全挂载选项说明
以下选项可单独使用，也可用逗号连接组合使用（无空格）：
- rw / ro：读写或只读挂载。ro 是最基础的安全防护，防止意外修改或恶意写入。
- noexec：禁止在该挂载点内运行任何可执行文件。适合挂载下载目录、临时存储或外部设备，避免执行未知二进制。
- nosuid：忽略文件上的 setuid/setgid 位。防止普通用户通过 suid 程序提权，常用于 /tmp、/var/tmp 或用户可写挂载点。
- nodev：不解析挂载点内的设备文件（如 /dev/sda1）。避免用户创建恶意设备节点绕过安全策略。
- uid=xxx,gid=xxx：强制指定挂载后所有文件的默认所有者和所属组（对 FAT/NTFS 等无原生 Unix 权限的文件系统特别有用）。
- umask=xxx：设置默认权限掩码。例如 umask=022 → 新建文件权限为 644，目录为 755；umask=077 → 所有新建项仅属主可访问。
- acl：启用访问控制列表支持，使 setfacl/getfacl 命令生效。需文件系统本身支持（如 ext4、xfs），且挂载时显式开启。
实际挂载命令示例
以挂载一块 NTFS U 盘为例，要求：普通用户可读写、禁止执行程序、不识别设备节点、默认归属当前用户（UID 1000）、启用 ACL：
sudo mount -t ntfs-3g -o rw,noexec,nodev,uid=1000,gid=1000,acl /dev/sdb1 /mnt/usb
再比如挂载一个用于共享文档的 ext4 分区，只允许组内成员读写、禁止其他用户访问、禁用 SUID：
sudo mount -o defaults,umask=007,nosuid,gid=1001 /dev/sdc2 /srv/shared
永久生效：写入 /etc/fstab
要让挂载选项开机自动应用，需编辑 /etc/fstab。格式为：
设备标识 挂载点 文件系统类型 挂载选项 dump pass
例如：
/dev/sdb1 /mnt/backup ext4 defaults,noexec,nosuid,nodev,umask=0027,acl 0 2
⚠️ 修改前务必备份：sudo cp /etc/fstab /etc/fstab.bak；修改后用 sudo mount -a 测试语法是否正确，避免重启失败。
验证与调试要点
挂载完成后，可通过以下方式确认设置是否生效：
- 查看当前挂载参数：mount | grep /mnt/yourpoint 或 findmnt /mnt/yourpoint
- 检查 ACL 是否启用：getfacl /mnt/yourpoint（若提示 operation not supported，说明未启用 acl 选项）
- 测试 noexec：尝试 ./some_script.sh 应报错 Permission denied
- 测试 nosuid：用 ls -l /mnt/yourpoint/some_suid_binary 看 x 位是否显示为 s 或 S，但实际执行不会切换 UID
