如何在Linux利用Shell脚本配合Stat命令识别部署中的权限异常文件并自动修正-linux运维-PHP中文网

linux权限异常可通过stat+shell脚本自动识别修正：聚焦私钥（600）、配置文件（640/600）、可执行脚本（700）及敏感目录（750/700）等高危模式，用stat -c "%a %u %g %n"精准提取权限信息，结合find与预设规则批量修复，支持dry-run预览和ci/cd集成。

如何在linux利用shell脚本配合stat命令识别部署中的权限异常文件并自动修正

在Linux部署过程中，权限异常（如敏感文件被设为777、私钥文件可被组/其他用户读取等）是常见安全隐患。用stat结合Shell脚本能高效识别并自动修正这类问题，无需依赖外部工具，稳定可靠。

明确需检查的权限风险模式

不是所有权限都需要干预，应聚焦高风险场景：

私钥类文件（如*id_rsa、*.pem）：权限不应超过600，禁止组和其他用户有读/写/执行权
配置文件（如*.conf、appsettings.json、.env）：通常不应被其他用户读取，推荐640（属主读写，组读）或600
可执行脚本（如*.sh、deploy.sh）：若仅属主运行，避免777或755误配给非必要目录；关键脚本建议700
Web根目录下的敏感路径（如config/、storage/logs/）：禁止其他用户遍历或写入，目录建议750或700

用stat精准提取权限与属主信息

stat比ls -l更适合作为脚本解析源，因其输出格式稳定、支持自定义格式。关键字段：

%a：八进制权限（如755、644）
%U：属主用户名
%G：属组名
%n：文件名（含路径）
%y：修改时间（可选，用于过滤近期变更）

示例命令提取所有.pem文件权限信息：

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

stat -c "%a %U %G %n" /path/to/deploy/**/*.pem 2>/dev/null

编写自动识别+修正脚本

以下是一个轻量、可复用的修正脚本片段（保存为fix-perms.sh），支持dry-run模式预览：

#!/bin/bash
DEPLOY_ROOT="/opt/myapp"
DRY_RUN=${1:-false}
<h1>定义修复规则：正则匹配 → 目标权限 → 说明</h1><p>RULES=(
'.pem$|600|private key'
'.id_rsa$|600|SSH private key'
'.env$|600|environment file'
'.conf$|640|config file'
'config/$|750|config directory'
'logs/$|750|log directory'
)</p><p>for rule in "${RULES[@]}"; do
pattern=$(echo "$rule" | cut -d'|' -f1)
target_perm=$(echo "$rule" | cut -d'|' -f2)
desc=$(echo "$rule" | cut -d'|' -f3)</p><h1>查找匹配项（-type f/d 区分文件/目录）</h1><p>find "$DEPLOY_ROOT" -regextype posix-egrep -regex ".*$pattern" -print0 | while IFS= read -r -d '' file; do
current=$(stat -c "%a" "$file" 2>/dev/null)
if [[ -z "$current" ]]; then continue; fi</p><pre class="brush:php;toolbar:false;"># 比较权限（忽略高位sticky等位，只看低9位）
if [[ $current != "$target_perm" ]]; then
  if [[ "$DRY_RUN" == "true" ]]; then
    echo "[DRY] $file: $current → $target_perm ($desc)"
  else
    chmod "$target_perm" "$file" && echo "[OK] $file: $current → $target_perm"
  fi
fi

done done

使用方式：