linux中sudo与acl分层协作：sudo控制“谁能以何种身份执行哪些命令”，acl解决“谁对哪些文件或目录拥有何种访问权”，二者分工明确、协同补位——sudo不涉文件读写，acl不管命令执行。
Linux 中结合 sudo 与 ACL 管理运维权限，关键在于分层分工：sudo 控制“谁能以什么身份运行哪些命令”，ACL 解决“谁对哪些文件或目录有怎样的访问权”。两者不重叠、不替代，而是协同补位——sudo 不管文件读写，ACL 不管命令执行。
明确分工：sudo 管命令，ACL 管文件
运维中常见场景如部署 Web 应用：
– 开发人员需要向 /var/www/myapp 写入代码，但不能重启服务；
– 运维人员需要执行 systemctl restart nginx，但不应直接修改网站文件；
– 审计人员只需读取日志，不可更改任何内容。
这时仅靠用户组 + chmod 无法满足差异需求：加进同一组就共享全部权限，拆成多组又难维护。
正确做法是：
• 用 sudo 授权运维用户执行特定服务管理命令；
• 用 ACL 单独授予开发用户对网站目录的读写权限，不影响其命令执行能力；
• 审计用户则通过 ACL 获得只读访问，且不需任何 sudo 权限。
sudo 配置要具体、可审计、防越权
编辑 /etc/sudoers 必须使用 visudo，避免语法错误导致锁死系统。授权原则是“最小必要”：
- 按组授权更易维护：例如
%ops ALL=(root) /bin/systemctl restart nginx, /bin/systemctl reload nginx - 禁止通配符和 ALL 命令：不用
ALL=(ALL) ALL，也不用/usr/bin/* - 限制执行身份：如需以
www-data运行脚本，写成(www-data)而非(ALL)，防止提权 - 开启日志审计：在
/etc/sudoers中添加Defaults logfile="/var/log/sudo.log"
ACL 设置要启用、继承、可验证
ACL 不是默认开启的，需确认文件系统支持并挂载选项含 acl：
- 检查是否启用：
dumpe2fs -h /dev/sda1 | grep "Default mount options"，输出含acl即可 - 临时启用：
mount -o remount,acl / - 永久生效：在
/etc/fstab对应行末尾加,acl，如defaults,acl - 给开发组写权限：
setfacl -m g:dev:rwx /var/www/myapp - 让新建文件自动继承：
setfacl -d -m g:dev:rwx /var/www/myapp - 查看效果：
getfacl /var/www/myapp，输出中会显示user::、group::及额外的group:dev:rwx条目
组合实战：一个典型 Web 运维权限模型
假设目录 /var/www/myapp 是项目根路径：
- 基础权限设为
775，属组为webdev：chmod 775 /var/www/myapp && chgrp webdev /var/www/myapp - 用 ACL 补充：开发组
dev可读写，运维组ops仅可读（用于检查配置）：setfacl -m g:dev:rwx,g:ops:rx /var/www/myapp - 递归设置默认 ACL，确保新文件/目录自动获得对应权限：
setfacl -d -m g:dev:rwx,g:ops:rx /var/www/myapp - sudo 授权运维用户重启服务：
%ops ALL=(root) /bin/systemctl restart nginx - 开发用户无需 sudo 权限，但可通过 ACL 修改代码；运维用户不能改代码，但能安全重启服务
