tar 怎么在备份中保留扩展属性和 ACL

可以，但不能只写常见的 tar -cpf。GNU tar 创建归档时要显式加入 --acls --xattrs，恢复时也要带上这两个选项；其中 --acls 保存 POSIX ACL，--xattrs 保存扩展属性。建议使用 PAX 格式，并在恢复目录中用 getfacl、getfattr 做一次对照检查。

官方文档：https://www.gnu.org/software/tar/manual/tar.html

先把 ACL、扩展属性和文件内容分开看

文件内容只是备份对象的一部分。POSIX ACL 描述额外的用户、组权限；扩展属性则是挂在 inode 上的键值数据，例如 user.mime_type 或安全策略相关属性。普通 tar 归档并不会自动把这些信息完整带走，因此“文件能解包”不等于“权限元数据恢复成功”。

GNU tar 的 --xattrs 在创建时会启用扩展属性并使用 PAX 归档格式；在解包时，它会尝试应用归档中的属性。ACL 则由 --acls 控制。跨机器时不要无条件恢复所有命名空间：user.* 通常更容易迁移，security.*、trusted.* 和 system.* 可能依赖目标内核、挂载方式或安全策略。

用一个小目录准备可验证的备份样本

先准备一个只包含配置和说明文件的目录，避免直接拿生产根目录试验。下面的命令用中文注释说明每个动作；setfacl、setfattr 不属于 tar 本身，缺少它们时可以先跳过样本构造，在已有带元数据的目录上验证。

# 创建一个最小样本，后续只比较元数据，不碰生产目录
mkdir -p demo-attrs/etc
printf '%s\n' 'backup=true' > demo-attrs/etc/app.conf

# 给 backup 组增加只读 ACL；实际组名按目标机器替换
setfacl -m g:backup:r-- demo-attrs/etc/app.conf

# 写入 user 命名空间扩展属性，适合做跨机器的可迁移示例
setfattr -n user.backup_scope -v 'config' demo-attrs/etc/app.conf

# 分别查看 ACL 与 xattr，先记录源目录的基线
getfacl -p demo-attrs/etc/app.conf
getfattr -d -m - demo-attrs/etc/app.conf

如果 ACL 中出现的组在目标机不存在，恢复后可能只能看到权限掩码变化，不能把它当成 tar 丢失数据。先保存源端输出，验收时再区分“归档没保存”和“目标身份不存在”。

创建归档时同时打开 ACL 和 xattr

最小可用写法如下。创建端的 --xattrs 默认会把可见扩展属性写入归档；若备份策略只允许某个命名空间，可以用 --xattrs-include 收窄范围。归档文件不要放在被打包的目录里，否则会把正在生成的文件再次纳入输入。

# 使用 PAX 格式保存 ACL 与扩展属性，归档文件放在样本目录之外
tar --format=pax --acls --xattrs \
  -cpf demo-attrs.tar demo-attrs

# 只保留 user 命名空间时，避免把目标系统专属属性带到别的机器
tar --format=pax --acls --xattrs --xattrs-include='user.*' \
  -cpf demo-attrs-user.tar demo-attrs

# 用两次 -v 查看归档中的扩展属性条目
tar --xattrs -tvvvf demo-attrs-user.tar

这里的选择不是“参数越多越完整”。归档需要保留什么，应由恢复目标决定：同一发行版、同一挂载策略可以保留更广的命名空间；异构迁移则应先从 user.* 开始。命令中使用 --format=pax 是为了让 ACL 和 xattr 有明确的扩展字段承载。

恢复后用三组检查确认真的保留了

恢复时仍然要显式带上 --acls --xattrs。下面把解包放在隔离目录，并只恢复 user.*，避免把来源机器的安全属性直接写入新系统。若确实需要其他命名空间，应先确认目标文件系统和策略兼容。

# 隔离恢复，避免覆盖现有文件；-p 保留权限相关信息
mkdir -p restore
tar --acls --xattrs --xattrs-include='user.*' \
  -xpf demo-attrs-user.tar -C restore

# 检查恢复出的 ACL 与扩展属性
getfacl -p restore/demo-attrs/etc/app.conf
getfattr -d -m - restore/demo-attrs/etc/app.conf

# 再列出归档，确认成员确实来自预期目录
tar -tf demo-attrs-user.tar

验收至少看三件事：ACL 是否仍有预期的额外用户或组、user.* 键值是否一致、普通权限位和文件内容是否一致。所有者恢复是另一条边界：非 root 解包通常不能把文件改成任意 UID/GID，跨机器时可使用数字身份记录并单独安排账号映射，不要把“组名不存在”误判为 xattr 丢失。

常见问题

为什么解包成功了，ACL 却没有恢复？

先检查解包命令是否带了 --acls，再确认目标文件系统和当前用户允许写 ACL；没有匹配的组或权限不足也会造成“看起来没恢复”。

为什么 xattr 只恢复了 user 命名空间？

GNU tar 对不同命名空间采用了更谨慎的恢复策略。需要其他命名空间时必须显式选择，并先确认目标系统兼容；安全属性不应跨机器盲目复制。

tar 能不能代替完整的系统备份？

不能。它可以承载文件、权限、ACL 和扩展属性，但启动区、块设备、挂载关系、服务状态和数据库一致性仍需要专门的备份方案。

把 --acls --xattrs 当成创建和恢复两端的成对参数，再用源端与目标端的 ACL、xattr 输出做对照，才能判断这份 tar 备份是否真的保留了权限元数据。