Kalkulator chmod

Każdy plik ma właściciela, grupę i tryb. Tryb daje trzy uprawnienia każdej z trzech klas — dziewięć bitów — a zaraz po znaku typu pliku ls -l wypisuje dokładnie te dziewięć znaków.

-rw-r--r-- to plik (-), który właściciel może czytać i zapisywać, a grupa i pozostali tylko czytać: tryb 644. drwxr-xr-x to katalog (d) z trybem 755. Pierwszy znak to typ: - plik, d katalog, l dowiązanie symboliczne, a b, c, p lub s dla rodzajów specjalnych. Wklej dowolny z tych wierszy do kalkulatora, a odczyta z niego tryb i typ.

W katalogu te trzy uprawnienia znaczą co innego niż w pliku. Odczyt pozwala wyświetlić znajdujące się w nim nazwy. Wykonywanie pozwala wejść do niego i dotrzeć do plików, których nazwy już znasz. Zapis razem z wykonywaniem pozwala tworzyć i usuwać wpisy — dlatego usunięcie pliku zależy od uprawnień katalogu, a nie pliku. Katalog z odczytem, ale bez wykonywania, to katalog, którego zawartość możesz wyświetlić, lecz którego nie otworzysz.

644 dla plików, 755 dla katalogów i wszystkiego, co ma się uruchamiać. Jedyna różnica to bit wykonywania.

644 to rw-r--r--: właściciel może to zmienić, każdy może to czytać, nikt nie może tego uruchomić. To właściwy tryb dla HTML, CSS, obrazów, konfiguracji i plików źródłowych. 755 to rwxr-xr-x: to samo, plus bit wykonywania dla wszystkich trzech klas. Katalog go potrzebuje, bo inaczej nikt nie wejdzie do środka, a skrypt go potrzebuje, bo inaczej powłoka odmówi jego uruchomienia.

Błąd, którego warto unikać, to chmod -R 755 na całej stronie, które sprawia, że każdy obraz i każdy plik .php staje się wykonywalny. Dwa polecenia find, które pisze kalkulator, nadają katalogom i plikom różne tryby jednym przebiegiem, z trybami, które naprawdę wybrałeś, a nie z parą z jakiegoś bloga.

OpenSSH odmawia użycia klucza prywatnego, który może odczytać ktokolwiek poza jego właścicielem. Ustaw klucz na 600, a katalog .ssh na 700.

Dokładny komunikat to Permissions 0644 for '<path>' are too open., a po nim It is required that your private key files are NOT accessible by others. Test za nim jest prosty: jeśli plik należy do ciebie i ustawiony jest jakikolwiek bit grupy lub pozostałych, klucz zostaje odrzucony. Dlatego 640 też zawodzi, i dlatego odpowiedzią jest 600, a nie „trochę mniej niż 644”.

chmod 600 ~/.ssh/id_ed25519 i chmod 700 ~/.ssh to naprawiają. Klucz publiczny może być czytelny dla każdego — liczy się tu tylko klucz prywatny i katalog. Wybierz Klucz SSH w popularnych trybach powyżej, a kalkulator napisze oba polecenia za ciebie.

Czwarta cyfra. W pliku setuid i setgid zmieniają konto, jako które działa program. W katalogu setgid decyduje o grupie nowych plików, a bit sticky o tym, kto może je usuwać.

Setuid (4000) na pliku wykonywalnym sprawia, że działa on jako właściciel pliku, a nie jako ty — passwd jest zainstalowany z setuid, aby przy zmianie hasła mógł działać z prawami roota. Setgid (2000) robi to samo dla grupy. W katalogu setgid robi coś innego i znacznie bardziej użytecznego: nowe pliki w środku dziedziczą grupę katalogu zamiast grupy twórcy, dzięki czemu wspólny katalog projektu pozostaje wspólny. Linux nie dokumentuje żadnego znaczenia bitu setuid w katalogu; w macOS i BSD może on sprawić, że nowe pliki dostaną właściciela katalogu, jeśli system plików zamontowano z tą opcją.

Bit sticky (1000) w katalogu powstrzymuje ludzi przed usuwaniem swoich plików nawzajem: tylko właściciel pliku, właściciel katalogu lub root może usunąć wpis albo zmienić jego nazwę. /tmp ma tryb 1777 właśnie z tego powodu — każdy może w nim zapisywać, nikt nie może usuwać cudzej pracy. W zwykłym pliku macOS i BSD pomijają bit sticky, a podręcznik GNU nadaje mu tam znaczenie tylko w niektórych starszych systemach. Jedna pułapka: chmod 755 somedir — albo chmod 0755 somedir — nie czyści bitu setgid, który już jest w katalogu, bo GNU chmod celowo go zachowuje przy każdym trybie numerycznym krótszym niż pięć cyfr — POSIX wymaga czyszczenia tych bitów przez formę ósemkową tylko w zwykłym pliku. Użyj g-s albo pięciocyfrowego chmod 00755, a kalkulator napisze formę pięciocyfrową za ciebie, ilekroć będzie potrzebna.

ls -l pokazuje je jako litery, a stat jako liczbę. Wklej jedno lub drugie do kalkulatora, a odczyta tryb z powrotem.

ls -l file wypisuje -rw-r--r-- 1 you staff 4096 25 Oct 09:26 file, a kalkulator przyjmuje cały wiersz — nie musisz wybierać z niego trybu. stat -c '%a %n' file wypisuje 644 file w Linuksie; w macOS to samo to stat -f '%Lp %N' file. Dla całego katalogu naraz GNU find . -maxdepth 1 -printf '%m %p\n' wypisuje każdy tryb jako liczbę (find z macOS nie ma -printf).

Znak + na końcu napisu uprawnień oznacza, że jest coś więcej niż dziewięć bitów: w Linuksie to ACL POSIX, który pokazuje getfacl, a te dodatkowe wpisy w ogóle nie są częścią trybu. W macOS @ oznacza atrybuty rozszerzone, a + rozszerzone informacje o zabezpieczeniach. W GNU ls kropka (.) oznacza kontekst bezpieczeństwa, na przykład SELinuksa. Kalkulator przyjmuje wszystkie trzy znaczniki i mówi ci, że tryb to tylko część historii.