Linux特殊权限位：SUID、SGID与Sticky Bit详解
在Linux系统中，文件权限管理是保障系统安全和用户协作的重要机制。除了常见的读（r）、写（w）、执行（x）权限外，系统还提供了三个特殊权限位：SUID、SGID和Sticky Bit。这些权限位在特定场景下提供更细粒度的控制，有助于提升系统的安全性与协作效率。
1. SUID（Set User ID）
SUID权限位作用于可执行文件。当一个文件设置了SUID位时，任何用户在运行该文件时，其有效用户ID（effective UID）将临时变为该文件所属用户的ID，而不是执行者的实际用户ID。
典型应用场景：如 passwd 命令，普通用户可以修改自己的密码，而密码存储在只有root可写的 /etc/shadow 文件中。通过设置SUID位，普通用户运行 passwd 时将以root身份执行，从而修改密码。设置方法：使用 chmod u+s filename 或 chmod 4755 filename
# 查看passwd命令的权限
ls -l /usr/bin/passwd
-rwsr-xr-x 1 root root 47032 Apr 1 2022 /usr/bin/passwd
注意输出中“s”出现在用户权限部分，表示SUID已启用。
2. SGID（Set Group ID）
SGID权限位作用于可执行文件或目录。对于文件，其效果与SUID类似，只是临时改变的是执行者的有效组ID（effective GID）。对于目录，任何在该目录下创建的文件或子目录将继承该目录的组权限。
典型应用场景：
文件示例：某些需要以特定组身份运行的脚本或程序。目录示例：协作目录，如开发团队共享的工作目录，确保所有新建文件属于团队组。
设置方法：使用 chmod g+s filename 或 chmod 2755 filename
# 查看某个目录的SGID设置
ls -ld /opt/team_dir
drwxr-sr-x 2 root devteam 4096 May 10 10:00 /opt/team_dir
注意输出中“s”出现在组权限部分，表示SGID已启用。
3. Sticky Bit（粘滞位）
Sticky Bit通常用于目录，其作用是限制用户只能删除自己拥有的文件，即使该目录对所有用户开放写权限。
典型应用场景：如 /tmp 目录，多个用户均可写入，但不能删除他人文件。设置方法：使用 chmod +t directoryname 或 chmod 1777 directoryname
# 查看/tmp目录权限
ls -ld /tmp
drwxrwxrwt 15 root root 4096 May 10 10:00 /tmp
注意输出中“t”出现在其他用户权限部分，表示Sticky Bit已启用。
4. 权限位对比表格
权限位作用对象作用效果典型用途SUID可执行文件执行时以文件属主身份运行如 passwd、sudo 等需临时提权的命令SGID文件或目录执行时以文件属组身份运行；目录中新建文件继承组协作目录、需特定组权限运行的程序Sticky Bit目录仅允许文件所有者删除文件/tmp、/var/tmp 等公共目录
5. 安全注意事项与最佳实践
避免滥用SUID/SGID：这些权限位会带来潜在安全风险，应仅在必要时启用。定期审计权限设置：使用 find / -perm /6000 -type f 可查找所有设置了SUID或SGID的文件。最小权限原则：尽量避免使用 chmod 777，应使用Sticky Bit替代公共目录的写权限控制。
6. Mermaid流程图：权限位作用机制
graph TD
A[SUID设置] --> B{用户执行文件}
B --> C[有效UID变为文件属主]
D[SGID设置] --> E{用户执行文件或创建文件}
E --> F[有效GID变为文件属组]
E --> G[新建文件继承目录组]
H[Sticky Bit设置] --> I{用户删除文件}
I --> J[仅允许删除自己拥有的文件]