一、綜述

Linux中，ls -l命令可謂是最常用不過了。命令顯示結果中的第一列也是我們比較關注的地方，一般說法是表示許可權的字元佔10個位置。可是，我們也經常看到在這一列中第十一個位置也有內容顯示，最常見的非那個點（.）莫屬了，還有加號（+）也會出現在這個位置，這到底是怎麼回事呢？讓我們親手來實踐一下吧？

二、關於許可權列內的點（.）

2.1 讓我們來看一下根目錄。

[root@DCGH ~]# ls -lZ /
lrwxrwxrwx. root      root      system_u:object_r:bin_t:s0       bin -> usr/bin
dr-xr-xr-x. root      root      system_u
 
:object_r:boot_t:s0      boot
drwxr-xr-x. root      root      system_u:object_r:device_t:s0    dev
drwxr-xr-x. root      root      system_u:object_r:etc_t:s0       etc
drwxr-xr-x. root      root      system_u:object_r:home_root_t:s0 home
lrwxrwxrwx. root      root      system_u:object_r:lib_t:s0       lib ->
 
 usr/lib
lrwxrwxrwx. root      root      system_u:object_r:lib_t:s0       lib64 -> usr/lib64
drwxr-xr-x. root      root      system_u:object_r:mnt_t:s0       media
drwxr-xr-x. root      root      system_u:object_r:mnt_t:s0       mnt
drwxr-xr-x. root      root      system_u:object_r:usr_t:s0       opt
dr-xr-xr-x. root      root      system_u
 
:object_r:proc_t:s0      proc
dr-xr-x---. root      root      system_u:object_r:admin_home_t:s0 root
drwxr-xr-x. root      root      system_u:object_r:var_run_t:s0   run
lrwxrwxrwx. root      root      system_u:object_r:bin_t:s0       sbin -> usr/sbin
drwxr-xr-x. root      root      system_u:object_r:var_t:s0       srv
dr-xr-xr-x. root      root      system_u:object_r:sysfs_t:s0     sys
drwxrwxrwt. root      root      system_u:object_r:tmp_t:s0       tmp
drwxr-xr-x. root      root      system_u:object_r:usr_t:s0       usr
drwxr-xr-x. root      root      system_u:object_r:var_t:s0       var

2.2 在HOME目錄分別建立一個檔案和目錄，觀察許可權了第十一個位置的詳細情況。

[root@DCGH ~]# touch DCGH
[root@DCGH ~]# mkdir DCGH-DIR
[root@DCGH ~]# ls -l
總用量 0
-rw-r--r--. 1 root root 0 3月  28 10:23 DCGH
drwxr-xr-x. 2 root root 6 3月  28 10:24 DCGH-DIR

2.3 檢視本機SELinux狀態，並列舉本目錄下檔案和目錄關於SELinux的基本情況。

[[email protected] ~]# getenforce 
Enforcing
[[email protected] ~]# ls -lZ
-rw-r--r--. root root unconfined_u:object_r:admin_home_t:s0 DCGH
drwxr-xr-x. root root unconfined_u:object_r:admin_home_t:s0 DCGH-DIR

3.4 關閉SELinux，再建立實驗檔案和目錄，再次列舉本目錄及根下檔案和目錄關於SELinux的基本情況。

[root@DCGH ~]# sed -i "s/SELINUX=enforcing/SELINUX=disabled/g" /etc/selinux/config 
[root@DCGH ~]# reboot
[root@DCGH ~]# getenforce 
Disabled
[root@DCGH ~]# ls -lZ
-rw-r--r--. root root unconfined_u:object_r:admin_home_t:s0 DCGH
drwxr-xr-x. root root unconfined_u:object_r:admin_home_t:s0 DCGH-DIR
[root@DCGH ~]# touch DCGH-later
[root@DCGH ~]# mkdir DCGH-later-dir
[root@DCGH ~]# ls -lZ
-rw-r--r--. root root unconfined_u:object_r:admin_home_t:s0 DCGH
drwxr-xr-x. root root unconfined_u:object_r:admin_home_t:s0 DCGH-DIR
-rw-r--r--  root root ?                                DCGH-later
drwxr-xr-x  root root ?                                DCGH-later-dir
[root@DCGH ~]# ls -lZ /
lrwxrwxrwx. root root system_u:object_r:bin_t:s0       bin -> usr/bin
dr-xr-xr-x. root root system_u:object_r:boot_t:s0      boot
drwxr-xr-x  root root ?                                dev
drwxr-xr-x. root root system_u:object_r:etc_t:s0       etc
drwxr-xr-x. root root system_u:object_r:home_root_t:s0 home
lrwxrwxrwx. root root system_u:object_r:lib_t:s0       lib -> usr/lib
lrwxrwxrwx. root root system_u:object_r:lib_t:s0       lib64 -> usr/lib64
drwxr-xr-x. root root system_u:object_r:mnt_t:s0       media
drwxr-xr-x. root root system_u:object_r:mnt_t:s0       mnt
drwxr-xr-x. root root system_u:object_r:usr_t:s0       opt
dr-xr-xr-x  root root ?                                proc
dr-xr-x---. root root system_u:object_r:admin_home_t:s0 root
drwxr-xr-x  root root ?                                run
lrwxrwxrwx. root root system_u:object_r:bin_t:s0       sbin -> usr/sbin
drwxr-xr-x. root root system_u:object_r:var_t:s0       srv
dr-xr-xr-x  root root ?                                sys
drwxrwxrwt. root root system_u:object_r:tmp_t:s0       tmp
drwxr-xr-x. root root system_u:object_r:usr_t:s0       usr
drwxr-xr-x. root root system_u:object_r:var_t:s0       var

通過上面的例子，我們可以看出來，這個點（.）不是沒有用的，而是作用巨大，我們平時沒怎麼注意而已。開啟SELinux後建立的檔案和目錄都會在許可權列顯示這個點的，關閉SELinux後建立的檔案和目錄在許可權列是不會顯示這個點的，之前建立的檔案或目錄保持不變。

三、關於許可權列的加號（+）

3.1 瞭解過Linux中ACL許可權設定的朋友對於這個加號肯定不陌生。不過還是讓我們通過實驗來驗證一下。

[[email protected] ~]# setfacl -m u:dcgh:rwx *
[[email protected] ~]# ls -lZ
-rw-rwxr--+ root root unconfined_u:object_r:admin_home_t:s0 DCGH
drwxrwxr-x+ root root unconfined_u:object_r:admin_home_t:s0 DCGH-DIR
drwxrwxr-x+ root root ?                                DCGH-DIR-later
-rw-rwxr--+ root root ?                                DCGH-later
[[email protected] ~]# setfacl -b *
[[email protected] ~]# ls -lZ
-rw-r--r--. root root unconfined_u:object_r:admin_home_t:s0 DCGH
drwxr-xr-x. root root unconfined_u:object_r:admin_home_t:s0 DCGH-DIR
drwxr-xr-x  root root ?                                DCGH-DIR-later
-rw-r--r--  root root ?                                DCGH-later

我們可以看到，加了ACL許可權控制之後，之前具有SELinux屬性的檔案和目錄的許可權列最後一個位置全部變成了加號（+）。移除原來的ACL許可權之後，恢復原樣。

四、總結

4.1 Linux許可權列的點不是無意義字元。在開啟SELinux的情況下建立的目錄和檔案有具有這個點，許可權列有這個點說明該目錄或檔案以及設定了SELinux相關的許可權。在禁用SELinux許可權之後，在之前開啟SELinux許可權時建立的檔案或目錄保持原來的許可權不變，許可權列的點依然顯示。新建立的目錄或檔案在許可權列無這個點顯示。

4.2 許可權列中最後一個位置如果是加號，說明這個目錄或檔案已經設定了ACL許可權相關的內容。如果加號存在，則已經有點的目錄或檔案，點的顯示會被覆蓋，但原來的SELinux屬性保持不變。

4.3 官方一點的說法：點表示該檔案具有SELinux安全上下文，加號表示該檔案配置了ACL許可權，加號不會覆蓋SELinux控制。