strace捕获open/openat权限错误需用-f -e trace=open,openat -y -o，错误表现为“= -1 eacces/eperm”，grep过滤后提取路径可定位目录缺x或文件缺r等根本原因。
strace 怎么捕获 open() 和 openat() 的权限拒绝错误
直接用 strace -e trace=open,openat,openat2 就能聚焦文件打开类系统调用，但默认不显示错误码。必须加 -e trace=open,openat,openat2 -y（-y 显示路径名）并配合 -o 输出日志，否则终端刷屏难定位。常见错误是只加 -e trace=file，结果混入大量 stat/chmod/mkdir 等无关调用，干扰判断。
关键点在于：权限冲突几乎总表现为 open() 返回 -1 EACCES 或 -1 EPERM，不是 ENOENT。例如：
openat(AT_FDCWD, "/etc/ssl/private/key.pem", O_RDONLY) = -1 EACCES (Permission denied)
注意看等号右边的错误字符串——这才是权限问题的铁证。
为什么用 -f 而不是 -F，以及何时必须加
很多程序启动后会 fork 出子进程加载配置或读取文件（比如 nginx worker、systemd 服务），主进程本身不触发权限错误。不加 -f 就只能看到父进程的调用，完全漏掉真正出错的子进程。
-f 是必需的，-F（跟随 vfork）基本不用，现代 Linux 上 vfork 已极少用于文件操作场景。实际命令通常是：
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
strace -f -e trace=open,openat -y -o strace.log -- your_command
如果目标程序已后台运行，可用 strace -f -p <pid></pid> 动态附加，但得确保有足够权限（通常需 root 或同组）。
如何快速从 strace 日志里定位权限路径
别手动翻日志。用 grep "EACCES\|EPERM" strace.log 直接过滤错误行，再用 awk '{print $3}' | sed 's/[^\/]*$//' | sort -u 提取所有被拒绝访问的目录路径——这能帮你发现是整个目录无执行权（chmod -x），还是文件本身无读权。
-
EACCES常见于：目录缺少x权限（无法进入）、文件缺少r权限（无法读）、SELinux/AppArmor 拒绝 -
EPERM多见于：CAP_DAC_OVERRIDE 缺失、文件被 chown 到其他用户且无权限、mount 时用了noexec或nosuid - 若看到
openat(AT_FDCWD, ...)中AT_FDCWD是相对路径起点，需结合进程当前工作目录（可用pwdx <pid></pid>查）还原绝对路径
strace 看不到权限问题？可能是 capability 或命名空间干扰
当 strace 显示 open() 成功返回 fd，但程序仍报“Permission denied”，问题往往不在内核权限检查层，而在更高层：
- 程序自己调用
access()做预检，而access()检查的是 real UID/GID，不是 effective UID/GID——strace 不会显示这个调用，得额外加-e trace=access - 容器环境里，
strace本身可能被 seccomp 过滤掉openat，导致日志为空；此时需检查容器 runtime 的 seccomp 配置 - 某些二进制用
LD_PRELOAD替换open()实现，绕过内核调用，strace 自然捕获不到
这种情况下，strace 只是工具链的第一环，不能假设它覆盖全部权限路径。真正卡点常藏在 access()、capable() 或 LSM 钩子之后。
