sticky位不能限制上传，仅防止误删他人文件；限制上传需组合使用权限控制、sgid、acl或selinux等机制。
Sticky位（Sticky Bit）本身不能限制用户上传文件，它只控制已存在文件的删除/重命名权限。想限制用户在敏感目录（如 /tmp、/var/www）上传行为，需结合 Sticky 位与更严格的权限模型（如所有权、组策略、ACL 或 SELinux），而非单独依赖 Sticky 位。
Sticky 位的真实作用：防误删，不防上传
在目录上设置 Sticky 位（chmod +t /path 或 chmod 1755 /path）后：
- 任何有写权限的用户仍可在此目录中 创建新文件或子目录（即“上传”行为不受限）；
- 但用户只能 删除或重命名自己创建的文件，无法删改他人文件（即使有写权限）；
- 典型例子：
/tmp默认带 Sticky 位，所有用户都能往里放文件，但不能删别人的临时文件。
真正限制上传行为的可行方法
若目标是禁止非授权用户向敏感目录上传文件，应采用以下组合策略：
-
收紧目录基础权限：将目录设为
755（所有者可写，组和其他人仅读+执行），并确保普通用户不属于该目录所属组； -
使用专属组 + SGID + 严格组权限：创建专用组（如
webadmins），把目录属组设为此组、权限设为2775（SGID + 组可写），再仅将可信用户加入该组； -
启用访问控制列表（ACL）细化控制：用
setfacl -m u:unwanted_user:- /sensitive/dir显式拒绝特定用户写入； -
配合强制访问控制（如 SELinux）：定义策略禁止非指定域（如
httpd_t）向该目录写入，比 DAC 更底层可靠。
常见误区提醒
以下操作无法达成“限制上传”目的：
- 仅给目录加 Sticky 位（
chmod +t）——上传照常发生； - 把目录权限设成
755却让普通用户属于该目录所属组——组成员仍可上传； - 依赖 Sticky 位阻止 web 应用写入（如 PHP 上传到
/var/www）——只要运行用户（如www-data）有写权，Sticky 位完全不干预。
推荐最小权限实践步骤
以保护 /var/www/html 为例：
- 设置目录属主为
root:webmasters； - 权限设为
2775（SGID 确保新建文件继承webmasters组）； - 仅将运维人员加入
webmasters组； - Web 服务进程（如 Nginx/Apache）以
www-data运行，但不加入webmasters组，且其用户对目录无写权限； - 如需动态上传，另设独立上传目录（如
/var/www/uploads），并单独配置权限与防护规则。
