acl是解决web服务器多人协作目录权限冲突的有效机制，支持为任意用户或组单独设置读写执行权限而不破坏原有属主结构，需确认系统支持、合理配置默认acl、注意mask限制并结合自动化工具加固。

ACL（Access Control List，访问控制列表）是解决Web服务器上多人协作时目录权限冲突的有效机制，尤其适用于开发团队共用测试环境、CMS多管理员后台、静态站点多人部署等场景。相比传统Unix权限（user/group/others三级），ACL支持为任意用户或组单独设置读、写、执行权限，且不破坏原有属主/属组结构，灵活性强、可追溯性好。

一、确认系统与文件系统支持ACL

并非所有环境默认启用ACL，需提前验证：

• Linux内核需支持（现代发行版基本都支持），检查挂载选项：mount | grep " /var/www "，确认输出含 acl（如 /dev/sda1 on /var/www type ext4 (rw,relatime,acl)）
• 若无acl，需重新挂载：sudo mount -o remount,acl /var/www；永久生效则修改 /etc/fstab，在对应行的挂载选项中加入 acl
• 确认工具可用：getfacl 和 setfacl 命令应存在（通常在 acl 软件包中，CentOS/RHEL用 yum install acl，Ubuntu/Debian用 apt install acl）

二、典型协作场景与ACL配置策略

以 /var/www/example.com 为例，团队含：运维（ops）、前端（fe）、后端（be）、内容编辑（editor）。目标是让各角色按需操作，互不越权：

• 基础权限固化：先设好属主/属组与传统权限，例如 sudo chown -R root:www-data /var/www/example.com，sudo chmod -R 755 /var/www/example.com，确保Web服务（如nginx/apache）能读取
• 授予特定用户写权限：前端需更新 /var/www/example.com/assets/，但不能动PHP脚本
  sudo setfacl -R -m u:fe:rwx /var/www/example.com/assets/
sudo setfacl -R -m u:fe:rx /var/www/example.com/（仅根目录可读可执行，防止误删）
• 按组批量授权：后端与运维需协同维护 /var/www/example.com/app/
sudo setfacl -R -m g:be:rwx,g:ops:rwx /var/www/example.com/app/
• 限制敏感目录：禁止editor访问配置和日志
  sudo setfacl -R -m u:editor:--- /var/www/example.com/config/
sudo setfacl -R -m u:editor:--- /var/www/example.com/logs/

三、关键实操要点与避坑提醒

ACL易用但细节决定成败，以下为高频问题应对方式：

• 默认ACL（default ACL）必须设：否则新创建的子文件/目录不继承权限。对协作目录执行：sudo setfacl -d -m g:be:rwx,g:ops:rwx /var/www/example.com/app/（注意 -d 参数）
• 权限叠加逻辑要清楚：ACL权限与传统权限是“并集”关系，但最终生效取交集。例如某文件传统权限为 644（即 group 不可写），即使ACL给group加了w，实际仍不可写——务必先确保基础权限允许对应操作
• 排查权限失效？看ACL是否被mask覆盖：ACL有个隐式mask字段，它会限制所有named user/group的最大有效权限。若发现设了w却无法写，运行 getfacl 文件名 查看mask值；必要时显式重设：setfacl -n -m m::rwx 目录
• 备份与迁移ACL：用 getfacl -R /var/www/example.com > acl_backup.txt 备份；恢复时 setfacl --restore=acl_backup.txt

四、配合Web服务与自动化加固协作流

ACL只是基础，需融入工作流才能长效稳定：

• 与Git钩子联动：在pre-receive钩子中校验推送路径是否符合ACL策略（如禁止向/config/推送PHP文件），失败则拒绝合并
• 部署脚本自动同步ACL：rsync或Ansible部署时，加上 --acls 参数（rsync）或 acl: yes 模块（Ansible），避免覆盖已有ACL规则
• 定期审计权限：用 find /var/www -type d -exec getfacl {} \; | grep -E "(user:|group:|mask:)" | grep -v "default:" 快速列出非常规ACL项，人工复核
• Web应用层兜底：ACL管文件系统，但PHP/Node.js等仍可能因代码缺陷越权。务必关闭目录浏览（nginx中 autoindex off），敏感路径做location deny，上传目录禁用脚本执行