Linux ipcmk 怎样明确设置新建 IPC 对象的权限

如果只是临时创建一个 IPC 对象，直接执行 ipcmk --shmem 4K 很容易忽略权限。ipcmk 的 -p / --mode 参数就是创建时的权限入口，默认值为 0644；更稳妥的做法是根据调用方范围显式写成 0600 或 0660，再按对象类型检查最终结果。

官方手册：https://github.com/util-linux/util-linux/blob/master/sys-utils/ipcmk.1.adoc

最小可用结论：只给当前用户使用就用 --mode 0600；需要同组进程读写时用 --mode 0660，不要依赖默认的 0644。

先确认 --mode 到底控制什么

ipcmk 可以创建 System V 共享内存、消息队列、信号量数组，也可以创建 POSIX 共享内存、消息队列和命名信号量。--mode 统一表达这些资源的访问权限，参数按八进制解析，支持的范围包含特殊权限位。

这里的“读写”是权限位的表达，不等于所有 IPC 类型都提供同一种读写 API。对消息队列、信号量或共享内存来说，权限首先决定哪些进程能继续打开、发送、接收或操作对象。

把权限写进创建命令

我在排查临时 IPC 资源时，会先把资源类型和权限放在同一条命令里，避免创建后再猜对象是否暴露。System V 对象不需要名称；POSIX 对象则必须用 --name 提供名称。

# 创建仅当前用户可访问的 System V 共享内存
ipcmk --shmem 4K --mode 0600

# 创建允许同组进程读写的 System V 消息队列
ipcmk --queue --mode 0660

# 创建两个元素的 System V 信号量数组，并限制为所有者使用
ipcmk --semaphore 2 --mode 0600

# 创建带名称的 POSIX 共享内存；POSIX 对象必须显式提供名称
ipcmk --posix-shmem 4K --name /demo_shm --mode 0660

上面的 4K 可作为共享内存大小，--semaphore 2 的数字表示信号量数组元素个数。若创建 POSIX 消息队列或命名信号量，也沿用同样的权限参数：

# 创建同组可读写的 POSIX 消息队列
ipcmk --posix-mqueue --name /demo_queue --mode 0660

# 创建仅当前用户可访问的 POSIX 命名信号量
ipcmk --posix-semaphore --name /demo_sem --mode 0600

命令中的 0600、0660 不要写成十进制权限值。ipcmk 会按八进制数字解析 --mode，因此把权限字符串原样保留在脚本里最不容易误读。

创建成功后按对象类型检查

创建命令返回成功，只能说明资源创建调用没有失败，不能替代权限确认。System V 资源可以用 ipcs 查看，POSIX 资源通常从 /dev/shm 的目录视图确认名称和权限。

# 查看 System V 共享内存的标识、所有者和权限列
ipcs -m

# 查看 System V 消息队列
ipcs -q

# 查看 System V 信号量数组
ipcs -s

# 查看 POSIX 共享内存、消息队列和命名信号量的目录项
ls -l /dev/shm

检查时重点看三件事：对象是否属于预期用户、权限位是否与命令一致、名称是否和服务配置相同。POSIX 对象的实际展示位置和命名细节可能受系统实现影响，所以不要只根据文件名推断类型；以创建命令和系统工具的结果一起判断。

临时对象要及时清理

测试脚本反复创建 IPC 资源时，最容易留下“权限已经改对但对象一直存在”的残留。System V 对象可根据 ipcs 输出的标识交给 ipcrm；POSIX 命名对象则按对应名称清理。

# 按实际的 System V 共享内存标识清理对象
ipcrm --shmem-id SHMID

# 按实际的 System V 消息队列标识清理对象
ipcrm --queue-id MSGID

# 按实际的 System V 信号量标识清理对象
ipcrm --sem-id SEMID

# 清理 POSIX 命名对象；名称必须替换成脚本真实使用的值
rm /dev/shm/demo_shm

这里的 SHMID、MSGID 和 SEMID 只是占位符，不能原样执行。生产脚本还应把创建、使用、清理放在同一生命周期里，并在异常退出路径中安排清理动作；不要用“把权限开大”来掩盖对象没有回收的问题。

最后可以把选择固定成一条规则：单用户临时资源用 0600，同组协作资源用 0660，只有确实需要公开读取时才考虑更宽的位。这样 ipcmk 的权限设置就从一次性命令变成了可复查的运行约束。

相关问题

ipcmk 的 --mode 默认是多少？

官方手册和源码帮助信息给出的默认值是 0644。如果对象只服务于当前用户，建议显式写 0600。

为什么 POSIX IPC 命令还要写 --name？

POSIX 共享内存、消息队列和命名信号量需要一个可由其他进程引用的名称；System V 资源则由系统返回标识，因此两类命令的参数组合不同。

权限正确但仍然打不开怎么办？

继续确认对象类型、名称或标识、所属用户与组，以及调用进程所在的 IPC 命名空间；权限位正确只排除了其中一个条件。