第 17 章 访问控制列表 (Access Control Lists)

$ ls -l tfile
-rwxr-x--x+   1 mtk      users           0 Dec 3 15:42 tfile
                                          ^ 扩展 ACL 标志

1. 特权进程（CAP_DAC_OVERRIDE）允许访问
   例外：执行文件时需至少一条 ACL 条目授予 x
2. 进程 file-system UID == 文件 owner UID → 用 ACL_USER_OBJ 权限
3. 进程 file-system UID 匹配某 ACL_USER 条目的限定符 → 用该条目权限，按位与 ACL_MASK
4. 进程任一 GID 匹配 ACL_GROUP_OBJ 或某 ACL_GROUP 限定符 → 进入 group class 检查：
   a) 若 ACL_GROUP_OBJ 授予请求权限 → 用其权限，按位与 ACL_MASK
   b) 若某 ACL_GROUP 条目授予请求权限 → 用其权限，按位与 ACL_MASK
   c) 否则拒绝
5. 否则用 ACL_OTHER 权限

u::rw-,g::r-x,o::---
u::rw,g::rx,o::-
user::rw,group::rx,other::-

u::rw,u:paulh:rw,u:annabel:rw,g::r,g:teach:rw,m::rwx,o::-

$ setfacl -m u:paulh:rx,g:teach:x tfile
$ setfacl -m m::x tfile
$ getfacl --omit-header tfile
user::rwx
user:paulh:r-x                  #effective:--x
group::r-x                      #effective:--x
group:teach:--x
mask::--x
other::--x

$ mkdir sub
$ setfacl -d -m u::rwx,u:paulh:rx,g::rx,g:teach:rwx,o::- sub
$ open("sub/tfile", O_RDWR | O_CREAT, S_IRWXU | S_IXGRP | S_IXOTH)
# 创建后 tfile 的访问 ACL：
user::rwx
user:paulh:r-x                  #effective:--x
group::r-x                      #effective:--x
group:teach:rwx                 #effective:--x
mask::--x
other::---

// 摘自《The Linux Programming Interface》第 17 章
#include <sys/acl.h>
#include <acl/libacl.h>
// 编译需 -lacl

// 1. 从磁盘读取
acl_t acl = acl_get_file(pathname, ACL_TYPE_ACCESS);
//    ACL_TYPE_ACCESS 或 ACL_TYPE_DEFAULT

// 2. 遍历条目
for (entryId = ACL_FIRST_ENTRY; ; entryId = ACL_NEXT_ENTRY) {
    if (acl_get_entry(acl, entryId, &entry) != 1) break;
    acl_tag_t tag;
    acl_get_tag_type(entry, &tag);
    /* 按 tag 分发处理 ACL_USER/ACL_GROUP/... */
    acl_permset_t permset;
    acl_get_permset(entry, &permset);
}

// 3. 创建/修改条目
acl_create_entry(&acl, &entry);
acl_set_tag_type(entry, ACL_USER);
uid_t *uidp = malloc(sizeof(uid_t));
*uidp = 1000;
acl_set_qualifier(entry, uidp);
acl_permset_t permset;
acl_get_permset(entry, &permset);
acl_clear_perms(permset);
acl_add_perm(permset, ACL_READ);
acl_add_perm(permset, ACL_WRITE);

// 4. 关键：计算 mask（重要：调用后才会自动创建 ACL_MASK）
acl_calc_mask(&acl);

// 5. 写回磁盘
acl_set_file(pathname, ACL_TYPE_ACCESS, acl);

// 6. 释放
acl_free(acl);

// 摘自《The Linux Programming Interface》第 17 章（Listing 17-1 简化）
if (acl_get_perm(permset, ACL_READ))  putchar('r');
if (acl_get_perm(permset, ACL_WRITE)) putchar('w');
if (acl_get_perm(permset, ACL_EXECUTE)) putchar('x');