开篇：当服务器权限变成“分手厨房”现场

想象一下：你兴冲冲部署了个网站，结果半夜被同事微信轰炸——“数据库炸了！谁把root密码改成‘123456’了？！”（别笑，这剧情我每年能在粉丝投稿里看8遍）

作为从业10年的老司机，今天就用“外卖权限管理法”，带你避开那些让运维秃头的权限坑。文末还附赠我的《Linux权限速查段子表》~

一、权限设置三大原则（附翻车案例）

原则1：最小权限原则——像发外卖一样严谨

- 错误示范：给实习生root权限，结果他 `rm -rf /*` 想“清空回收站”（真实案例：某公司备份服务器当场去世）

- 正确操作：

```bash

只给网站目录读写权，其他区域只读

chown -R www-data:www-data /var/www/html

chmod 750 /var/www/html

所有者读写执行，组用户读执行，其他人没门！

```

*类比*：就像外卖小哥只能进大堂，不能拿你家钥匙遛狗。

原则2：角色分离——别让厨师兼任食品安全局

- 经典惨案：某站长用root跑MySQL，黑客入侵后直接提权横扫整个服务器

- 解决方案：

```sql

CREATE USER 'web_user'@'localhost' IDENTIFIED BY '强密码';

GRANT SELECT, INSERT ON shop_db.* TO 'web_user'@'localhost';

*人话版*：数据库账号分等级，普通账号只有添删改查的“菜刀”，没有删库跑路的“核按钮”。

原则3：日志监控——给权限装上行车记录仪

```bash

记录所有sudo操作（谁在什么时候干了啥）

echo "Defaults logfile=/var/log/sudo.log" >> /etc/sudoers

```

*效果*：下次发现 `/home` 被清空时，能精准锁定凶手并送上“程序员鼓励师”大礼包。

二、不同场景下的权限配方（附代码）

场景1：个人博客（安全+省心版）

文件权限设置（数字代号版）

find /var/www -type d -exec chmod 755 {} \;

目录可读可进入

find /var/www -type f -exec chmod 644 {} \;

文件只读不执行

WordPress专属加固（防篡改）

chown -R www-data:www-data wp-content/uploads/

chmod -R 755 wp-content/uploads/

*原理*：像给手机APP权限——相册能访问，但绝不让你偷偷打电话。

场景2：企业级应用（多人协作版）

用ACL实现精细控制（让财务部只能看报表目录）

setfacl -Rm g:finance:r-x /reports

setfacl -Rm g:dev:rwx /code

SSH登录限制（禁止root直接登录）

sed -i 's/PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config

*比喻*：像公司门禁系统——开发部有实验室钥匙，但财务室连只蟑螂都爬不进去。

三、高阶玩家技巧（防0day漏洞骚操作）

1. 容器化隔离术：用Docker把每个服务关进“独立牢房”

```bash

docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE nginx

只给网络绑定权限

```

*效果*：就算Nginx被黑，黑客也逃不出这个集装箱。

2. SELinux护体大法（适合头铁人士）：

阻止Apache访问用户家目录

setsebool -P httpd_enable_homedirs off

*警告*：此技能容易引发“为什么我的服务又双叒挂了”咆哮，建议先备好速效救心丸。

四、终极避坑清单（老司机血泪）

- 🚫 禁忌1：777权限（等于在服务器门口贴“欢迎来偷”）

- ✅ 替代方案：用 `setfacl` 精细分配，比如 `setfacl -m u:backup:rx /data`

- 🚫 禁忌2 ：全公司共用同一个SSH密钥（一人中招，全员升天）

- ✅ 正确姿势 ：用 `ssh-keygen -t ed25519` 给每人生成独立密钥

- 💡 冷知识 ：`chattr +i /etc/passwd` 能让关键文件连root都删不动（慎用！）

段子：《Linux权限数字代号速记法》

- 7(111) ：读+写+执行 → “为所欲为”

- 5(101) ：读+执行 → “能看能跑但不能改”（像极了甲方需求）

- 0(000) ：啥都没有 → “你甚至不愿叫我一声用户”

最后送大家一句服务器生存法则：“宁可sudo输到手抽筋，也别root一时爽” 🚀

TAG:服务器权限设置成什么好,