Калькулятор chmod

У каждого файла есть владелец, группа и режим. Режим даёт три права каждому из трёх классов — девять битов, — а сразу после символа типа файла ls -l печатает ровно эти девять символов.

-rw-r--r-- — это файл (-), который владелец может читать и изменять, а группа и все остальные — только читать: режим 644. drwxr-xr-x — каталог (d) с режимом 755. Первый символ — тип: - файл, d каталог, l символическая ссылка, а b, c, p или s — особые виды. Вставьте любую такую строку в калькулятор, и он прочитает из неё режим и тип.

У каталога те же три права значат не то же, что у файла. Чтение позволяет просматривать имена внутри него. Выполнение позволяет войти в него и добраться до файлов, имена которых вы уже знаете. Запись вместе с выполнением позволяет создавать и удалять записи — поэтому удаление файла зависит от прав каталога, а не файла. Каталог с чтением, но без выполнения можно просмотреть, но нельзя открыть.

644 для файлов, 755 для каталогов и всего, что нужно запускать. Единственное отличие — бит выполнения.

644 — это rw-r--r--: владелец может менять, все могут читать, никто не может запускать. Это правильно для HTML, CSS, изображений, конфигурации и исходного кода. 755 — это rwxr-xr-x: то же плюс бит выполнения для всех трёх классов. Каталогу он нужен, иначе в него никто не войдёт, а скрипту — иначе оболочка откажется его запускать.

Ошибка, которой стоит избегать, — chmod -R 755 на целый сайт: из-за неё каждое изображение и каждый файл .php становится исполняемым. Две команды find, которые пишет калькулятор, за один проход задают каталогам и файлам разные режимы, причём те, что выбрали вы, а не пару из какого-нибудь блога.

OpenSSH отказывается использовать закрытый ключ, который может прочитать кто-либо, кроме владельца. Задайте ключу 600, а каталогу .ssh — 700.

Точное сообщение — Permissions 0644 for '<path>' are too open., а следом It is required that your private key files are NOT accessible by others. Проверка за ним грубая: если файл ваш и установлен хотя бы один бит группы или остальных, ключ отвергается. Поэтому и 640 не проходит, и ответ — 600, а не «чуть меньше, чем 644».

chmod 600 ~/.ssh/id_ed25519 и chmod 700 ~/.ssh это исправляют. Открытый ключ может читать кто угодно — здесь важны только закрытый ключ и каталог. Выберите Ключ SSH среди частых режимов выше, и калькулятор напишет обе команды за вас.

Четвёртая цифра. У файла setuid и setgid меняют, от имени какой учётной записи запускается программа. У каталога setgid определяет группу новых файлов, а sticky-бит — кто может их удалять.

Setuid (4000) на исполняемом файле заставляет его работать от имени владельца файла, а не вашего — passwd устанавливается с setuid, чтобы при смене пароля работать с правами root. Setgid (2000) делает то же для группы. У каталога setgid делает другое и гораздо более полезное: новые файлы внутри наследуют группу каталога, а не создателя, и именно так общий каталог проекта остаётся общим. В Linux у бита setuid на каталоге нет описанного значения; в macOS и BSD он может сделать так, что новые файлы получают владельца каталога, если файловая система смонтирована с таким параметром.

Sticky-бит (1000) на каталоге не даёт людям удалять чужие файлы: удалить или переименовать запись могут только владелец файла, владелец каталога или root. Поэтому у /tmp режим 1777 — писать в него может каждый, но чужую работу удалить не может никто. У обычного файла macOS и BSD sticky-бит игнорируют, а руководство GNU придаёт ему там значение только в некоторых старых системах. Одна ловушка: chmod 755 somedir — или chmod 0755 somedir — не сбрасывает бит setgid, уже стоящий на каталоге, потому что GNU chmod намеренно сохраняет их при любом числовом режиме короче пяти цифр — POSIX требует сбрасывать их восьмеричной формой только у обычного файла. Используйте g-s или пятизначное chmod 00755; калькулятор пишет пятизначную форму сам, когда она нужна.

ls -l показывает их буквами, а stat — числом. Вставьте любое из них в калькулятор, и он прочитает режим.

ls -l file печатает -rw-r--r-- 1 you staff 4096 25 Oct 09:26 file, и калькулятор принимает всю строку — выбирать из неё режим не нужно. stat -c '%a %n' file в Linux печатает 644 file; в macOS то же самое — stat -f '%Lp %N' file. Чтобы сразу получить весь каталог, GNU find . -maxdepth 1 -printf '%m %p\n' выводит каждый режим числом (у find в macOS нет -printf).

Знак + в конце строки прав означает, что здесь есть не только девять битов: в Linux это POSIX ACL, который показывает getfacl, и эти дополнительные записи вообще не входят в режим. В macOS @ означает расширенные атрибуты, а + — расширенные сведения о безопасности. В GNU ls точка (.) означает контекст безопасности, например SELinux. Калькулятор принимает все три знака и сообщает, что режим — лишь часть картины.