linux用户权限漂移是长期配置偏差积累所致，修复需先基于基线定位源头再精准收敛，禁用全盘chmod/chown，推荐ansible等声明式工具固化权限并定时校验。

Linux用户权限漂移不是突然发生的错误，而是长期缺乏管控后积累的配置偏差——比如手动改过/etc/passwd却忘了同步组策略，或脚本批量chown时路径写错导致/home下部分子目录属主异常。修复关键不在“一键”，而在快速定位偏差源头并按需收敛。

先确认漂移是否存在，而不是直接修复

权限漂移必须基于明确基线才能判断。没有基线的“修复”可能把正确配置覆盖成错误状态。

• 查当前用户核心权限状态：id -nG 看所属组，sudo -l 看可执行命令范围，getent group sudo 验证sudo组成员是否符合预期
• 对比系统默认策略：RHEL/CentOS用rpm -V sudo检查二进制和配置文件是否被修改；Debian/Ubuntu运行debsums -c | grep -E "(mode|user|group)"列出权限、属主、属组异常项
• 扫描高风险目录归属：find /etc /usr/local/bin -type f ! -uid 0 -o ! -gid 0 2>/dev/null | head -20 快速发现非root拥有的系统级文件

分层定位权限链路断裂点

用户无法访问某文件，常因路径中某一级目录缺少x权限（不可进入），而非目标文件本身问题。

• 用namei -l /path/to/target一次性显示从/到目标的每级权限、属主、属组，中断点会标为[error]
• 重点检查/home/用户名目录权限：若为700且用户不在该组，同组协作用户将完全无法进入其家目录
• 验证ACL干扰：getfacl /home/用户名 查看是否有user:xxx或mask限制实际生效权限

针对性修复常见漂移场景

不推荐全盘chmod 755或chown -R root:root /，这会破坏系统安全边界。应按角色精准重置。

• 恢复sudo功能：确保/usr/bin/sudo权限为4755，且/etc/sudoers语法正确（用visudo -c校验），再确认用户已在sudo组：usermod -aG sudo $USER
• 修复系统命令权限：对/bin/mount、/usr/bin/passwd等设4755；对/etc/shadow设600；对/etc/passwd设644
• 清理意外ACL：若getfacl /etc显示非空ACL条目，用setfacl -b /etc清除（除非业务明确需要）

用声明式工具固化权限，防止再次漂移

人工修复只是救火，真正解决要靠自动化基线控制。

• 用Ansible的file模块定义关键路径权限，例如：
  - name: Ensure /etc/shadow is secure
    file:
      path: /etc/shadow
      owner: root
      group: root
      mode: '0600'
• 每日定时校验：用find /etc -type f -printf "%M %p\n" | sort > /var/log/perm-baseline-$(date +%F)生成快照，配合diff检测变更
• 禁止交互式提权：在/etc/sudoers中添加Defaults !tty_tickets和Defaults env_reset，降低误操作风险