必须以root身份运行tar -xp，归档含完整元数据，目标系统存在对应uid/gid，否则属主静默降级、特殊权限丢失，导致服务启动失败；-p可保留setuid/sticky等位，但acl、selinux等需额外参数。
要用 tar -xp 严格还原原始文件的特殊权限（如 setuid、sticky bit）和绝对属主（UID/GID），必须满足三个前提：以 root 身份运行、归档本身包含完整元数据、目标系统存在对应 UID/GID。否则即使加了 -p，也会静默降级或丢失关键属性，导致服务启动失败、权限拒绝等业务报错。
必须用 root 解压才能真正还原属主
普通用户执行 tar -xp 时，--same-owner 实际不生效，所有文件属主都会变成当前用户——这不是报错，而是静默覆盖，极易引发后续访问异常。
- root 用户下
-p默认启用--same-owner，无需额外写 - 若归档中记录的是 UID 0（root）、GID 100（wheel），而目标系统没有 GID 100，该组会回退为
nogroup或数字 ID，需提前检查/etc/group - 解压前建议先用
tar -tzf archive.tar.gz | head -5确认归档是否含完整路径与元数据
仅 -p 不够：setuid/setgid/sticky 位要靠 -p 显式保留
-p 是唯一能还原特殊权限位的选项，但它的效果依赖解压上下文：
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
- 它能保留可执行位、目录的
x权限（否则 web 目录无法进入）、setuid（如/usr/bin/passwd）、sticky（如/tmp） - 若解压到已有目录且目标目录设置了
noexec或nosuid挂载选项，即使-p成功写入，内核也会在运行时忽略这些位 - 验证方法：
ls -l /path/to/binary查看是否有s或t；stat /path/to/dir看Access:行是否含04000（setuid）、2000（setgid）、1000（sticky）
ACL、SELinux 上下文、capabilities 需额外参数
数据库、容器运行时、安全工具常依赖这些扩展属性，-p 完全不处理：
-
--acls：还原通过setfacl设置的访问控制列表 -
--xattrs：还原扩展属性，包括security.capability（如cap_net_raw）、user.*自定义键 -
--selinux：还原 SELinux 文件上下文（如system_u:object_r:bin_t:s0），缺它会导致 auditd 报avc denied - 推荐组合：
sudo tar --acls --xattrs --selinux -xpf archive.tar.gz -C /opt/app
避免覆盖配置引发权限冲突
业务报错常不是因为解压失败，而是解压后覆盖了已有的配置文件或权限策略：
- 不要直接
-C /usr/local解压到非空系统目录，优先解压到空白目录再迁移 - 若必须覆盖，先备份原目录：
mv /opt/myapp /opt/myapp.bak.$(date +%s) - 确认 umask 不干扰：root 默认 umask 是 0022，不影响
-p效果；但若在脚本中显式设了 umask 0077，会压制部分权限，应移除或重置
