getfacl与setfacl配合可实现acl权限跨服务器无损迁移：先用getfacl -r -p导出含访问acl和默认acl的完整备份，再用setfacl --restore精准还原，最后通过mask检查、默认规则验证及用户实测三步确认生效。
跨服务器迁移 ACL 权限规则，核心不是“重新设置”，而是“完整导出 + 精准还原”。getfacl 和 setfacl 配合使用，能实现权限配置的可复制、可验证、无遗漏迁移。关键在于理解 ACL 的结构分层（访问 ACL 和默认 ACL）以及 mask 的约束作用。
一、用 getfacl 导出完整 ACL 规则
导出必须覆盖两类 ACL：当前目录/文件的访问控制列表（access ACL），以及目录的默认 ACL（default ACL，仅对目录有效，影响新建子项）。漏掉 default ACL，新创建的文件将不继承预期权限。
- 导出单个目录的全部 ACL（含默认规则）：
getfacl -R /shared/project > project_acl_backup.acl - 只导出默认 ACL（用于确认或单独备份）：
getfacl -d /shared/project > project_default.acl - 导出时保留绝对路径（避免还原时路径错位）：
getfacl -p -R /shared/project > project_fullpath.acl
注意：-R 递归导出时，输出中每段都以 # file: xxx 开头，这是 setfacl -R 还原的识别依据；不要手动编辑该文件中的注释行，否则 setfacl 可能解析失败。
二、在目标服务器上用 setfacl 还原 ACL
还原需分两步：先确保目录结构存在且基础属主/属组一致，再批量应用 ACL。直接 setfacl -R 还原比逐条 setfacl -m 更可靠，尤其对深层嵌套目录。
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- 还原整个目录树的 ACL（含默认规则）：
setfacl --restore=project_acl_backup.acl - 若只想还原默认 ACL（例如只迁移目录模板）：
setfacl -d -R -m u::rwx,g::r-x,o::r-x /shared/project（需手动补全，不推荐） - 还原前检查目标路径是否存在、权限是否合理（如 /shared/project 目录本身至少要有执行权限，否则无法进入）
重要提示：setfacl --restore 会严格按文件中记录的路径还原。如果目标服务器路径不同（如源是 /data/app，目标是 /opt/app），需先用 sed 批量替换路径：
sed -i 's|/data/app|/opt/app|g' project_acl_backup.acl
三、迁移后必须验证的三个关键点
ACL 迁移容易“看起来成功，实际失效”，尤其 mask 和默认规则常被忽略。验证不能只看 ls -l 的 “+” 符号，必须用 getfacl 检查实质内容。
- 检查 mask 是否被正确还原：
运行 getfacl /shared/project | grep "mask::"，确认其值 ≥ 所有 user:xxx 和 group:xxx 的权限组合。若 mask 过小（如 mask::r--），即使设置了 user:alice:rwx，alice 实际也只获得 r--。 - 确认默认 ACL 是否生效：
在目标目录下新建测试文件 touch test_new && getfacl test_new，观察其 user:xxx/group:xxx 条目是否与 getfacl -d 输出一致。 - 验证特殊用户权限是否可达：
切换到目标用户（如 su - alice），尝试读写目标目录下的文件，而非仅依赖 getfacl 输出判断。
四、常见迁移失败原因及规避方式
很多 ACL 迁移问题并非命令不会用，而是环境差异导致的隐性冲突。
- 用户或组在目标服务器不存在：
getfacl 输出中的user:jenkins:r-x在目标机无 jenkins 用户时，setfacl --restore 会报错并跳过该条。迁移前需同步用户/组 ID（UID/GID），或用 getfacl -n 导出数字 ID 版本，再人工映射。 - 文件系统未启用 ACL 支持：
目标服务器挂载选项必须含acl（如 mount -o remount,acl /shared）。可通过 tune2fs -l /dev/sdX1 | grep "Default mount options" 查看。 - SELinux 或其他 MAC 框架干扰：
即使 ACL 允许，SELinux 上下文错误也会拒绝访问。迁移后建议运行 restorecon -Rv /shared/project 重置上下文。
