在CentOS系统中，传统的chmod和chown只能对文件的所有者、所属组和其他用户三个角色做粗粒度的权限控制，但实际生产环境里你经常会遇到这种情况：一个目录下有几十个文件，你需要让某个特定用户只能读其中几个文件，或者让一个用户组里的不同成员拥有不同的访问级别。这时候setfacl就是你的核心工具，它基于POSIX ACL标准，能针对单个用户或单个用户组单独设置读、写、执行权限，粒度精确到每一个文件和目录，比传统权限管理灵活得多。
什么是ACL以及为什么CentOS需要它
ACL全称Access Control List，即访问控制列表。CentOS默认的文件权限体系是基于UGO模型的，也就是User（所有者）、Group（所属组）、Others（其他人），每个角色只能有一种权限组合。但在多用户协作、Web服务运行、数据库共享目录等场景下，这种三级控制远远不够。ACL允许你在UGO之外，额外添加任意数量的用户和用户组条目，每个条目都有独立的rwx权限。CentOS 7及以上版本默认文件系统（XFS和ext4）都支持ACL，但需要确认内核和挂载选项是否开启。
检查系统是否支持ACL
在使用setfacl之前，你必须确认两件事：第一，文件系统是否挂载了acl选项；第二，是否安装了acl工具包。先用以下命令检查挂载情况：
mount | grep acl
如果输出中看到"acl"字样，说明已经支持。如果没有，需要重新挂载或修改/etc/fstab。对于ext4文件系统，可以这样操作：
mount -o remount,acl /
或者在/etc/fstab中对应行添加acl选项。然后检查acl工具包是否安装：
rpm -qa | grep acl
如果没有输出，执行yum install acl -y安装即可。这一步很多人会忽略，导致后续命令报错说"Operation not supported"。
setfacl命令的基本语法结构
setfacl的命令格式非常直观，核心结构如下：
setfacl [选项] 规则 文件或目录
其中规则部分是关键，常见的规则写法包括：
setfacl -m u:username:rwx file.txt # 给指定用户设置权限 setfacl -m g:groupname:r-x file.txt # 给指定用户组设置权限 setfacl -m o::--- file.txt # 给其他人设置权限 setfacl -m d:u:username:rwx dir/ # 设置默认ACL（目录下新建文件继承）
注意"-m"是modify的缩写，表示修改或添加ACL条目；"-b"是删除所有ACL条目；"-x"是删除指定条目；"-R"是递归操作。这些选项组合起来就能覆盖绝大多数场景。
实战案例：给单个用户分配精确权限
假设你有一个项目目录/data/project，里面有多个文件，你需要让用户developer只能读取config.yml和logs目录，但不能修改任何东西。传统chmod做不到这么细，用setfacl就很简单：
setfacl -m u:developer:r-- /data/project/config.yml setfacl -m u:developer:r-x /data/project/logs/
如果你想让developer对整个project目录有读和执行权限（能进入目录），但对里面某些敏感文件完全禁止访问：
setfacl -m u:developer:r-x /data/project/ setfacl -m u:developer:--- /data/project/secret.key
这里有个重要细节：ACL条目的优先级高于传统权限。也就是说，当你同时设置了传统权限和ACL权限时，系统会先检查ACL条目，如果有匹配的用户或组条目就用它，没有才回退到UGO权限。这意味着你可以用ACL覆盖传统权限，实现更精细的控制。
默认ACL：让新建文件自动继承权限
很多人用setfacl只关注现有文件，却忽略了默认ACL（default ACL）。默认ACL是针对目录设置的，作用是让该目录下以后新建的所有文件和子目录自动继承指定的权限规则。这在共享目录场景下极其有用。比如你有一个团队共享目录/shared/team，希望所有新文件都让组成员可读可写，但其他人只能读：
setfacl -m d:g:team:rwx /shared/team/ setfacl -m d:o::r-- /shared/team/
设置完之后，任何用户在这个目录下创建的新文件都会自动带上这些ACL规则。你可以用getfacl查看验证：
getfacl /shared/team/
输出中会看到"default:"开头的行，那就是默认ACL条目。如果你发现新建文件没有继承，通常是因为没有设置default条目，或者目录本身的权限不允许创建。
递归设置ACL：批量处理整个目录树
当你需要对一个目录下所有文件和子目录统一设置ACL时，用-R参数递归操作。比如把/var/www/html下所有文件的ACL清空，然后重新给apache用户设置读权限：
setfacl -R -b /var/www/html/ setfacl -R -m u:apache:r-x /var/www/html/
但要注意，递归操作如果目录很大，执行时间会比较长，而且如果中间出错不容易定位。建议先在小范围测试，确认规则正确后再大规模执行。另外，递归设置默认ACL时要用大写的-R和-d组合：
setfacl -R -m d:u:www-data:r-x /var/www/html/
查看和验证ACL设置：getfacl的使用
设置完ACL之后，必须用getfacl验证结果，否则你不知道实际生效的规则是什么。getfacl的用法很简单：
getfacl /data/project/config.yml
输出示例通常是这样的：
# file: data/project/config.yml # owner: root # group: root user::rw- user:developer:r-- group::r-- mask::r-- other::---
这里"user:developer:r--"就是你设置的ACL条目。"mask"是一个很关键的概念，它是ACL的最大有效权限掩码。任何ACL条目的实际权限都不能超过mask的值。比如你设置了user:developer:rwx，但mask是r--，那developer实际只有读权限。mask的存在是为了防止ACL条目意外授予过高权限。你可以用setfacl -m m::rwx来修改mask值。
删除和清理ACL条目
当某个用户不再需要访问权限，或者你想把文件恢复到传统权限模式，就需要删除ACL。删除所有ACL条目（恢复到纯UGO权限）用：
setfacl -b /data/project/file.txt
删除指定条目用-x参数：
setfacl -x u:developer /data/project/file.txt setfacl -x g:team /data/project/file.txt
如果你只想删除默认ACL而保留现有文件的ACL条目：
setfacl -k /shared/team/
ACL与传统权限的关系和注意事项
很多管理员在用setfacl时会产生困惑：设置了ACL之后，ls -l显示的权限位会变。比如一个文件原本是644（rw-r--r--），设置ACL后可能显示为604（rw-------），这是因为系统用"+"号标记表示有ACL条目存在，而传统权限位中的group和other部分可能被mask影响而显示不完整。不要被这个现象迷惑，用getfacl才能看到完整的权限信息。
另外一个常见问题是：如果你用chmod修改了文件的传统权限，可能会影响mask值，进而影响所有ACL条目的实际权限。所以在同时使用chmod和setfacl时，建议先用setfacl设置好ACL，最后再用chmod调整传统权限，或者干脆完全依赖ACL，把传统权限设为最小值。
CentOS安全场景中的ACL最佳实践
从安全角度出发，ACL应该遵循最小权限原则。具体建议如下：第一，不要给太多用户设置ACL条目，每多一个条目就多一个潜在的权限泄露点；第二，对于Web服务目录，只给运行服务的用户（如nginx、apache）设置必要的读或读写权限，绝对不要给其他用户任何权限；第三，定期用getfacl审计关键目录的ACL设置，尤其是/etc、/var、/home下的敏感文件；第四，在脚本中批量设置ACL时，先把规则写到文件里，用setfacl -M -从文件读取规则，这样便于版本管理和回滚：
# acl_rules.txt 内容示例 u:deployer:r-x g:webadmin:rw- d:g:webadmin:rwx
setfacl -M acl_rules.txt /var/www/html/
第五，对于多用户服务器，建议配合SELinux一起使用，ACL负责文件级别的精细控制，SELinux负责进程级别的强制访问控制，两者互补才能构建完整的安全体系。
常见故障排查
如果setfacl报"Operation not supported"，首先检查文件系统是否支持ACL（xfs和ext4都支持，但需要挂载选项）；其次检查是否在NFS挂载的目录上操作，NFSv3默认不支持ACL，需要NFSv4；如果是在LVM快照或某些特殊文件系统上，也可能不支持。另外，如果文件所在分区是用noacl选项挂载的，需要重新挂载。遇到权限不生效的情况，先getfacl确认规则是否正确写入，再检查mask值是否限制了实际权限。
总结来说，setfacl是CentOS系统管理员必须掌握的权限管理工具。它弥补了传统chmod的不足，让你能在多用户、多角色的复杂环境中实现精确到每个用户的访问控制。掌握了setfacl的设置、查看、删除和默认ACL机制，再配合getfacl的审计能力，你就能在CentOS服务器上建立起一套既灵活又安全的文件权限体系。
