mask是acl权限生效的硬性上限，它不决定谁有权限，只通过按位与运算限制非属主/非other的acl条目（如user:xxx、group:xxx、default条目）的实际权限，例如user:alice:rwx与mask::r--按位与后实际仅r--。
mask 不是“额外加的权限”，而是 ACL 权限生效的硬性上限。它不决定谁有权限，只决定已有 ACL 条目中，哪些权限能真正起作用。
mask 的本质是按位与运算器
每个非属主、非属组的 ACL 条目（如 user:alice:rwx 或 group:dev:r-x）声明的是“希望给的权限”，但系统会强制用 mask 与之做按位与（&），结果才是用户实际获得的权限。
- 例如：user:alice:rwx + mask::r-- → 实际权限 = rwx & r-- = r--
- 再如：group:qa:rw- + mask::--x → 实际权限 = rw- & --x = ---（完全失效）
- 哪怕你设了 rwx，只要 mask 缺少对应位，该位就归零
哪些 ACL 条目受 mask 约束
mask 控制所有非基础身份的 ACL 权限，包括：
- 显式添加的用户条目（user:xxx:）
- 显式添加的组条目（group:xxx:）
- 默认 ACL 中的用户/组条目（default:user:xxx:、default:group:xxx:）
- 但不约束属主（owner）、属组（group）、other 这三类基础权限
为什么 ls 显示权限末尾有个 + 号
当文件存在有效 ACL（即 getfacl 输出中含 user: 或 group: 条目，且未被 mask 完全截断）时，ls -l 会在权限字符串末尾显示 +，例如：
-rw-rw-r--+ 1 user group 0 Jul 21 05:30 file.txt
- 这个 + 是系统在提示：“别只看这九位，后面还有 ACL 和 mask 在起作用”
- 它不表示权限变强了，只是告诉你：ACL 已启用，实际权限需结合 mask 判断
如何确认 mask 是否正在截断权限
运行 getfacl 文件名，重点观察两处：
- 看 mask:: 行——当前生效上限值
- 看各 user:xxx: 或 group:xxx: 行末是否带 effective: 字样
→ 有 effective:xxx 表示已被 mask 压缩，括号里才是真实权限
→ 没有 effective:，说明该条目权限完整生效
