setfacl通过acl机制实现windows式细粒度权限管理：支持为任意用户/组单独赋权（-m）、目录默认继承（-d）、递归应用（-r）及掩码控制（mask），并用getfacl验证。
Linux 运维中用 setfacl 实现类似 Windows “安全选项卡”式的细粒度权限，核心在于绕过传统“所有者-组-其他”三层限制，直接为任意用户或组单独赋权，并支持目录级默认继承——这正是 Windows 安全选项卡里“添加用户→勾选权限→勾选‘应用于’”的逻辑对应。
一、基础权限添加：给单个用户/组设独立权限
就像在 Windows 里右键文件夹→属性→安全→编辑→添加用户一样，setfacl 的 -m 选项可即时添加一条 ACL 规则：
-
给用户 alice 对 /shared/report.txt 读写执行：
setfacl -m u:alice:rwx /shared/report.txt -
给组 marketing 对同一文件只读：
setfacl -m g:marketing:r-- /shared/report.txt -
权限生效后，ls -l 显示末尾带 + 号（如
-rw-rw-r--+ 1 root root），表示存在扩展 ACL。
二、目录默认 ACL：让新建文件自动继承权限（类比“应用于：此文件夹、子文件夹和文件”）
Windows 中勾选“替换子容器及对象的所有权限项”，对应 setfacl 的 -d（default）选项。它不作用于当前文件，而是定义未来子项的默认权限模板：
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
-
设置 /shared 目录的默认 ACL，使新创建的文件自动对 dev 组可读写：
setfacl -d -m g:dev:rw- /shared -
同时设用户 bob 对新文件可执行：
setfacl -d -m u:bob:rx /shared - 注意：默认 ACL 只对目录有效；新创建的子目录会同时继承默认 user/group 权限 + 默认 default ACL；新创建的文件只继承 default ACL（无执行位，除非显式加 x）。
三、批量与递归控制：覆盖整个协作目录树
面对项目目录（如 /proj/v2），需一次性统一权限，类似 Windows 中“高级→替换所有子对象权限”：
-
递归添加权限（含子目录+文件）：
setfacl -R -m u:tester:r-x /proj/v2 -
递归设默认 ACL（仅对子目录生效，影响其后续新建内容）：
setfacl -R -d -m g:qa:r-x /proj/v2 -
清空所有扩展 ACL（恢复到纯传统权限）：
setfacl -b /proj/v2（慎用，会删掉所有 user:/group: 条目）
四、验证与排查：确认权限是否按预期生效
Windows 看安全选项卡，Linux 就用 getfacl ——它是唯一能完整呈现 ACL 结构的命令：
-
getfacl /shared/report.txt→ 查看实际生效的 user:/group:/mask:/other: 行 - 特别关注 mask:: 行：它代表 ACL 条目的“最大允许权限上限”。例如 mask 是 r-x，即使你设了 u:alice:rw-，alice 实际也只有 r-x；需用
setfacl -m m:rwx扩展掩码才能释放真实权限。 -
getfacl -d /shared→ 单独查看默认 ACL，确认继承规则是否已写入。
