共享目录必须设sgid才能自动继承组所有权，仅chmod 770或chown :teamgroup不够；需chmod 2770启用sgid位，配合usermod加组后重登录、统一umask 002及samba的force group等配置，缺一不可。
共享目录必须设 SGID 才能自动继承组所有权
光用 chmod 770 或 chown :teamgroup /shared 不够。Linux 默认不强制新文件继承父目录的组，用户在目录里新建的文件仍按自己主组归属，其他组员会遇到“Permission denied”。
必须启用 SGID（Set Group ID）位：
-
chmod 2770 /shared—— 开头的2就是 SGID 标志，比分开执行chmod 770+chmod g+s更可靠 - SGID 只对目录生效，
chmod -R 2770会递归设子目录，但不影响已有普通文件的属组 - 验证是否生效：
ls -ld /shared应显示权限为drwxrws---（注意组执行位是s而非x）
Samba 共享权限 ≠ Linux 文件系统权限
即使 /shared 在 Linux 层面权限全对，Windows 用户连上后仍可能只读、或根本连不上——这是 Samba 绕过了系统权限校验。
关键配置项必须加进 smb.conf 对应 share 段落：
-
force group = teamgroup：强制所有操作以该组身份执行，避免 Samba 用 nobody 或用户主组访问 -
create mask = 0660和directory mask = 2770：确保新建文件/目录权限与 Linux 层一致 - 禁用
guest ok = yes，否则认证失效，直接降权到匿名用户 - 测试服务端可用性：
smbclient -L //localhost -U alice，别等 Windows 映射失败才排查
用户加入组后必须重新登录才生效
usermod -aG teamgroup alice 执行完，当前终端里 id -Gn 依然看不到 teamgroup，ls -l /shared 也报错——这不是配置错，只是组成员关系没刷新。
宝塔Linux面板11.8.1
下载
宝塔Linux面板11.8.1为官网当前正式版，新增AI建站能力并经过宝塔网站工程师深度调教，开放自定义AI功能API，同时对WAF进行界面重构和深度优化，提升拦截能力与运维效率。
最稳妥做法：
- 让该用户退出所有 SSH 会话，重新登录（图形界面同理）
- 临时验证可用：
sg teamgroup -c 'touch /shared/test'，模拟组身份执行命令 - 避免用
newgrp teamgroup：它启新 shell，无法嵌套，脚本中不可靠
ACL 是 SGID 失效时的兜底方案
某些场景 SGID 不适用：比如目录挂载在 NFS 或容器卷上、文件系统不支持、或需给单个非组用户临时授权。
这时用 ACL 更轻量：
- 给用户
kitty单独加写权：setfacl -m u:kitty:rwx /shared - 确认生效：
getfacl /shared会多出一行user:kitty:rwx - 注意：NFS/Samba 默认不透传 ACL，若要用，得在
smb.conf加vfs objects = acl_xattr并启用对应后端
SGID + 默认 ACL + 统一 umask 002 这三者配合，才是协作目录权限稳定的基线。漏掉任意一环，都可能在某次新建文件后突然“有人写不了”。
