Máy Tính Chmod

Mỗi tệp có một chủ sở hữu, một nhóm và một chế độ. Chế độ cấp ba quyền cho mỗi lớp trong ba lớp — chín bit — và ngay sau ký tự chỉ loại tệp, ls -l in đúng chín ký tự đó.

-rw-r--r-- là một tệp (-) mà chủ sở hữu được đọc và ghi, còn nhóm và những người khác chỉ được đọc: chế độ 644. drwxr-xr-x là một thư mục (d) ở chế độ 755. Ký tự đầu là loại: - là tệp, d là thư mục, l là liên kết tượng trưng, còn b, c, p hoặc s là các loại đặc biệt. Dán bất kỳ dòng nào như vậy vào máy tính, nó sẽ đọc ra chế độ và loại.

Trên một thư mục, ba quyền mang nghĩa khác với trên một tệp. Đọc cho bạn liệt kê các tên bên trong. Chạy cho bạn vào trong và đến được những tệp mà bạn đã biết tên. Ghi, cùng với chạy, cho bạn tạo và xóa các mục — vì vậy việc xóa một tệp phụ thuộc vào quyền của thư mục chứa nó, không phải quyền của tệp. Một thư mục có đọc mà không có chạy là thư mục bạn liệt kê được nhưng không mở được.

644 cho tệp, 755 cho thư mục và cho mọi thứ cần chạy. Khác biệt duy nhất là bit chạy.

644 là rw-r--r--: chủ sở hữu sửa được, mọi người đọc được, không ai chạy được. Đúng cho HTML, CSS, ảnh, tệp cấu hình và mã nguồn. 755 là rwxr-xr-x: giống vậy, thêm bit chạy cho cả ba lớp. Thư mục cần nó, nếu không sẽ không ai vào được thư mục, và một script cần nó, nếu không shell sẽ từ chối chạy.

Sai lầm cần tránh là chmod -R 755 lên cả một website, khiến mọi ảnh và mọi tệp .php đều thành tệp chạy được. Hai lệnh find mà máy tính viết ra đặt chế độ khác nhau cho thư mục và tệp chỉ trong một lượt, với đúng các chế độ bạn đã chọn thay vì một cặp lấy từ một bài blog.

OpenSSH từ chối dùng một khóa riêng mà ai ngoài chủ sở hữu cũng đọc được. Đặt khóa thành 600 và thư mục .ssh thành 700.

Thông báo chính xác là Permissions 0644 for '<path>' are too open., tiếp theo là It is required that your private key files are NOT accessible by others. Phép thử đằng sau rất thẳng thừng: nếu bạn sở hữu tệp và bất kỳ bit nào của nhóm hoặc của những người khác được đặt, khóa bị từ chối. Vì vậy 640 cũng thất bại, và 600 là câu trả lời chứ không phải “thấp hơn 644 một chút”.

chmod 600 ~/.ssh/id_ed25519 và chmod 700 ~/.ssh sẽ sửa được. Khóa công khai thì ai đọc cũng được — ở đây chỉ khóa riêng và thư mục là quan trọng. Chọn Khóa SSH trong các chế độ thường dùng ở trên và máy tính sẽ viết sẵn cả hai lệnh cho bạn.

Chữ số thứ tư. Trên tệp, setuid và setgid đổi tài khoản mà một chương trình chạy dưới tên. Trên thư mục, setgid quyết định nhóm của tệp mới và bit sticky quyết định ai được xóa chúng.

Setuid (4000) trên một tệp thực thi làm nó chạy với quyền của chủ sở hữu tệp thay vì của bạn — passwd được cài với setuid để nó chạy được với quyền của root khi bạn đổi mật khẩu. Setgid (2000) làm điều tương tự cho nhóm. Trên một thư mục, setgid làm một việc khác và hữu ích hơn nhiều: tệp mới bên trong thừa hưởng nhóm của thư mục thay vì nhóm của người tạo, nhờ vậy thư mục dự án dùng chung luôn được dùng chung. Linux không ghi nhận ý nghĩa nào cho bit setuid trên thư mục; trên macOS và các BSD, nó có thể khiến tệp mới lấy chủ sở hữu của thư mục, nếu hệ thống tệp được gắn (mount) với tùy chọn đó.

Bit sticky (1000) trên một thư mục ngăn người ta xóa tệp của nhau: chỉ chủ sở hữu của tệp, chủ sở hữu của thư mục hoặc root mới được xóa hay đổi tên một mục. /tmp có chế độ 1777 chính vì lý do đó — ai cũng được ghi vào, không ai được xóa công việc của người khác. Trên một tệp thông thường, macOS và các BSD bỏ qua bit sticky, và sách hướng dẫn của GNU chỉ gán cho nó một ý nghĩa ở đó trên một số hệ thống cũ. Một cái bẫy: chmod 755 somedir — hay chmod 0755 somedir — không xóa bit setgid đã có sẵn trên một thư mục, vì chmod của GNU cố ý giữ chúng với bất kỳ chế độ dạng số nào có ít hơn năm chữ số — POSIX chỉ yêu cầu dạng bát phân xóa chúng trên một tệp thường. Hãy dùng g-s, hoặc dạng năm chữ số chmod 00755, và máy tính sẽ viết dạng năm chữ số cho bạn mỗi khi bạn cần nó.

ls -l hiển thị chúng dưới dạng chữ và stat hiển thị dưới dạng số. Dán cái nào vào máy tính cũng được, nó sẽ đọc lại chế độ.

ls -l file in ra -rw-r--r-- 1 you staff 4096 25 Oct 09:26 file, và máy tính nhận cả dòng — bạn không phải tự nhặt chế độ ra. stat -c '%a %n' file in ra 644 file trên Linux; trên macOS cùng việc đó là stat -f '%Lp %N' file. Để xem cả một thư mục cùng lúc, find . -maxdepth 1 -printf '%m %p\n' của GNU liệt kê mọi chế độ dưới dạng số (find của macOS không có -printf).

Một dấu + ở cuối chuỗi quyền nghĩa là có nhiều hơn chín bit: trên Linux đó là một POSIX ACL, mà getfacl hiển thị, và những mục thêm đó hoàn toàn không nằm trong chế độ. Trên macOS, @ nghĩa là thuộc tính mở rộng và + nghĩa là thông tin bảo mật mở rộng. Với ls của GNU, một dấu chấm (.) nghĩa là một ngữ cảnh bảo mật, chẳng hạn của SELinux. Máy tính chấp nhận cả ba dấu hiệu và cho bạn biết chế độ chỉ là một phần của câu chuyện.