磁盘配额与用户权限协同使用可有效控制单个用户磁盘空间占用。需先启用配额功能，再为用户设置软/硬限制，配合权限管控堵住绕过漏洞，并通过日常监控与告警实现持续管理。
磁盘配额与用户权限协同使用，是 Linux 系统中控制单个用户磁盘空间占用、防止个别账户滥用存储资源的有效手段。核心逻辑是：权限决定“能不能访问文件”，配额决定“能用多少空间”，二者叠加才能真正实现“可管可控”的资源限制。
一、先确认系统支持并启用配额功能
多数现代 Linux 发行版内核默认支持配额，但需手动启用。关键步骤如下：
- 编辑 /etc/fstab，在目标分区（如 /home）的挂载选项中添加 usrquota,grpquota（如：
/dev/sdb1 /home ext4 defaults,usrquota,grpquota 0 2） - 重新挂载分区：
sudo mount -o remount /home - 生成初始配额数据库：
sudo quotacheck -cug /home（-c 创建、-u 用户级、-g 组级） - 启用配额：
sudo quotaon /home
二、为具体用户设置硬限制与软限制
使用 edquota 命令为用户设定空间和文件数限制，区分“软限制”（可临时突破，有宽限期）和“硬限制”（绝对不可超）：
- 运行
sudo edquota -u username，进入编辑界面后填写：
– blocks 列设软限（如 512000 = 500MB）、硬限（如 524288 = 512MB）
– inodes 列设文件数量限制（防小文件爆炸） - 若需统一配置多个用户，可用
edquota -p template_user username1 username2复制模板 - 设置宽限期（仅对软限生效）：
sudo edquota -t，修改 block grace period（如 7 days）
三、配合权限控制，堵住绕过配额的漏洞
仅设配额不控权限，用户仍可能通过其他方式规避限制，例如：
- 禁止用户在配额外挂载点（如 /tmp、/var/tmp）写入大量数据 → 用 noexec,nosuid,nodev 挂载，并限制目录权限：
sudo chmod 1777 /tmp后再加sudo chown root:root /tmp - 限制用户创建子挂载或 bind mount：
sudo sysctl -w user.max_user_namespaces=0（禁用用户命名空间） - 避免用户通过 sudo 写入他人目录 → 审查 /etc/sudoers，禁用无必要权限（如禁止
ALL=(ALL) NOPASSWD: /bin/touch类宽泛授权）
四、日常监控与告警不能少
配额不是“设完就完”，必须持续跟踪实际使用情况：
- 查看单个用户用量：
quota -u username；查看所有用户：repquota -a - 脚本化检查超限用户（示例）：
repquota -u /home | awk '$3 > $4 && $4 != "0" {print $1 " 超出软限制"}' - 结合 cron 每日扫描，邮件通知管理员：
0 2 * * * /usr/bin/repquota -auh | /bin/grep -E "(Warning|No filesystem)" | /usr/bin/mail -s "配额告警" admin@local
