在macos上为存储库设置精细化acl的核心是默认acl+组织结构对齐+权限收敛：一、确认apfs/hfs+卷启用acl并验证getfacl输出；二、用dscl建职能组并设命名acl；三、用setfacl -d配置默认acl实现自动继承；四、定期审计清理冗余条目。
在 macOS 上为存储库设置精细化的访问 ACL，核心是结合系统原生支持的 POSIX ACL 机制与目录服务管理，不依赖第三方工具，也不靠反复 chmod 补漏。关键在于“默认 ACL + 组织结构对齐 + 权限收敛”三层落地。
确认文件系统支持并启用 ACL
macOS 默认启用 ACL（自 OS X 10.4 起），但需确保目标卷使用 APFS 或 HFS+ 格式，且未被挂载为 noacl 模式：
- 运行 mount | grep "$(df . | tail -1 | awk '{print $1}')" 检查挂载选项，确认含 acl
- 对测试目录执行 getfacl /path/to/testdir，若输出含 user::、group::、other:: 三行，说明 ACL 已就绪
- 如遇权限继承异常，可临时补设默认 ACL：setfacl -d -m u::rwx,g::r-x,o::--- /storage/repo
按用途建组并绑定 ACL 规则
避免直接给个人用户赋权，而是通过 dscl 创建职能组，并在目录上配置命名 ACL：
- 创建组：sudo dscl . -create /Groups/dev-team
- 添加成员：sudo dscl . -append /Groups/dev-team GroupMembership alice bob
- 为目录设组权限：setfacl -m g:dev-team:rwx /storage/repo/src
- 限制只读协作：setfacl -m g:qa-team:r-x /storage/repo/releases
- 执行 setfacl --recompute-mask /storage/repo 确保 mask 不截断实际权限
设置默认 ACL 实现子项自动继承
让新创建的文件/子目录无需手动干预即获得预期权限，必须配置默认 ACL（default ACL）：
- 对根目录设默认规则：setfacl -d -m g:dev-team:rwx,g:ops-team:rx,o::--- /storage/repo
- 注意：默认 ACL 不影响已有内容，需单独处理历史文件：find /storage/repo -type f -exec setfacl -m g:dev-team:rw {} \;
- 敏感目录可叠加锁定：chflags uchg /storage/repo/secrets（需先解除权限锁）
定期审计与清理冗余条目
ACL 条目积累后易出现冲突或过期授权，建议每月执行一次轻量审计：
- 查非标准组权限：getfacl -R /storage/repo | grep -E "group:[^dev-team|^ops-team|^qa-team]"
- 清空某目录全部 ACL：chmod -N /storage/repo/temp
- 导出当前 ACL 备份：getfacl -R /storage/repo > repo-acl-$(date +%F).txt
