Калькулятор chmod

Как устроены восьмеричные права

У каждого файла три набора прав: для владельца (u), для группы (g) и для остальных (o), то есть всех прочих. Каждый набор — это три бита: чтение, запись и выполнение, а восьмеричная цифра — просто их сумма: чтение — 4, запись — 2, выполнение — 1. Значит, 7 — это rwx (4+2+1), 6 — rw- (4+2), 5 — r-x (4+1), а 4 — только r--.

Три цифры образуют весь режим в порядке владелец, группа, остальные. Поэтому chmod 755 даёт владельцу rwx, а всем остальным r-x, что записывается как rwxr-xr-x, а chmod 644 даёт владельцу rw-, а остальным r--, то есть rw-r--r--. Четвёртая цифра в начале хранит специальные биты: 4 — setuid, 2 — setgid, 1 — sticky, как в chmod 1777.

Частые значения chmod

644 (rw-r--r--)

Стандарт для обычных файлов: владелец может редактировать, все могут читать. Подходит для HTML, изображений и большинства конфигов.

755 (rwxr-xr-x)

Стандарт для каталогов, скриптов и программ: все могут читать и запускать, изменять — только владелец.

600 (rw-------)

Личные файлы, которые читает только владелец: закрытые ключи SSH, файлы .env, учётные данные. ssh отказывается использовать закрытый ключ, доступный для чтения другим.

700 (rwx------)

Личный каталог, например ~/.ssh, в который может войти только владелец.

664 / 775

Как 644 и 755, но группа тоже может писать: для общих папок проекта, где коллеги состоят в одной группе.

777 (rwxrwxrwx)

Любой может читать, изменять и запускать. Почти никогда не правильное решение ошибки доступа и угроза безопасности на веб-сервере.

1777 (rwxrwxrwt)

Запись для всех плюс sticky bit, как у /tmp: все могут создавать файлы, но удалить файл может только его владелец.

Права на каталоги

У каталога эти три буквы значат другое. Чтение позволяет видеть имена внутри; запись — создавать, переименовывать и удалять записи в нём; выполнение (часто его называют поиском) — входить в него через cd и обращаться к файлам по имени. Без выполнения чтение и запись почти бесполезны, поэтому у каталогов x почти всегда стоит там же, где r, — 755, а не 644.

Удаление файла — это изменение каталога, а не самого файла. Любой, у кого есть права на запись и выполнение в каталоге, может удалить в нём любой файл, даже чужой и доступный только для чтения, — если только у каталога нет sticky bit.

Setuid, setgid и sticky bit

В символьной форме специальные биты заменяют букву выполнения: s, если выполнение тоже установлено, и S, если нет, а для sticky bit — t или T. Заглавная буква обычно означает ошибку: программа с setuid, которую никто не может запустить, ничего не делает.

Особенность GNU coreutils: chmod 755 для каталога сохраняет уже установленные биты setuid или setgid. Чтобы сбросить их числом, укажите пять цифр — chmod 00755 — или используйте chmod g-s.

Setuid (4000, u+s)

Исполняемый файл запускается с правами своего владельца, а не вызывающего. Так passwd записывает /etc/shadow от имени root. Linux игнорирует его для скриптов и каталогов.

Setgid (2000, g+s)

Исполняемый файл запускается с правами своей группы. В каталоге новые файлы наследуют группу каталога, а не основную группу создателя, — обычная настройка для общих командных папок (2775).

Sticky bit (1000, +t)

В каталоге удалять или переименовывать файлы может только владелец файла, владелец каталога или root. Современный Linux игнорирует его для файлов.

Числовой или символьный chmod?

Числовой режим, например chmod 644 file, задаёт все биты сразу — это то, что нужно, когда вы знаете итоговое состояние. Символьная форма гибче: chmod u=rw,g=r,o=r file задаёт то же самое, а chmod g+w file или chmod o-rwx file меняют только указанные биты и не трогают остальные.

Осторожнее с chmod -R: один режим для всех файлов и каталогов дерева обычно даёт файлам лишний бит выполнения. Используйте find . -type d -exec chmod 755 {} + и find . -type f -exec chmod 644 {} +, чтобы обработать их по отдельности, или заглавную X в chmod -R u=rwX,go=rX, которая добавляет выполнение только каталогам и файлам, где оно уже было. Начальные права новых файлов задаёт umask: при umask 022 файлы получают 644, а каталоги 755. Чтобы подбирать имена файлов в shell-скриптах, попробуйте тестер регулярных выражений.