linux无原生“仅追加”权限，但可通过acl、目录权限与chattr +a属性组合模拟：赋予用户写权限并启用追加属性，使其可>>追加、禁覆盖截断，再配合目录sticky bit防删改。
Linux本身不提供原生的“仅追加”（append-only）文件权限，但可通过POSIX ACL配合文件系统特性与合理权限设计，**模拟实现对特定用户的追加写入能力**，同时阻止覆盖、截断或删除操作。关键在于：让目标用户能写入（w），但不能修改已有内容——这需依赖目录权限控制 + 文件权限约束 + 可选的文件系统属性加固。
核心原理：靠目录权限限制文件重命名/删除，靠文件权限禁用覆盖
“追加”本质是向文件末尾写入新数据（如 echo "log" >> file），该操作只需：
– 文件有 w 权限（允许写入）
– 所在目录有 w 权限（允许修改文件元数据，如更新 mtime）
但要防止覆盖（>）或截断（truncate），需确保：
– 文件**没有写权限给该用户**（否则可 cat new > file 覆盖）
– 目录**禁止该用户删除或重命名该文件**（即不赋予目录的 w 权限给该用户，或启用 sticky bit）
实际操作步骤（以目录 /var/log/applogs 为例）
前提：文件系统已启用ACL（ext4/xfs默认支持，挂载含 acl 选项）
-
1. 设置日志目录的基础权限
确保目录属主为服务账户（如appuser），属组为日志维护组（如logwriters）：chown appuser:logwriters /var/log/applogschmod 2775 /var/log/applogs（2表示 setgid，新文件自动继承组；775保证组内可写可执行） -
2. 为特定用户（如
logger）添加组级ACL
不直接赋权给用户，而是将其加入logwriters组，并设ACL确保其仅通过组身份获得最小权限：usermod -aG logwriters loggersetfacl -m g:logwriters:rx /var/log/applogs（目录可进入、列出） -
3. 对已有日志文件设置“追加友好”的权限
关键一步：让logger用户能追加，但不能覆盖或删改已有内容：setfacl -m u:logger:--x /var/log/applogs/app.log（仅执行权限 → 允许>>追加，但无r或w，无法读取或覆盖）
注：部分内核/工具链下，仅--x可能不足以支持追加（因需写入文件元数据）。更稳妥做法是：setfacl -m u:logger:rw- /var/log/applogs/app.log（赋予读写），
再用chattr +a app.log（需 root）启用文件系统级“追加唯一”属性 —— 此时即使有w权限，也仅允许open(O_APPEND)方式写入，禁止覆盖、截断、删除。 -
4. 设置默认ACL，使新日志文件自动继承
setfacl -d -m u:logger:--x /var/log/applogs（新文件默认仅--x）setfacl -d -m g:logwriters:rx /var/log/applogs（新目录默认可进入）
验证与注意事项
验证是否生效：
– 切换到 logger 用户：su - logger
– 测试追加：echo "$(date) INFO" >> /var/log/applogs/app.log（应成功）
– 测试覆盖：echo "oops" > /var/log/applogs/app.log（应失败，报 Permission denied）
– 测试读取：cat /var/log/applogs/app.log（若设的是 --x，应失败；若用了 chattr +a，则仍可读）
必须注意：
– chattr +a 是 ext2/3/4/xfs 支持的底层属性，比ACL更严格，推荐搭配使用
– NFS 挂载环境慎用 chattr，优先依赖 ACL + 目录 sticky bit（chmod +t）防误删
– 日志轮转工具（如 logrotate）需以 root 或 appuser 运行，避免被 ACL 阻塞
