setfacl 为什么会在修改条目时重新计算 mask

setfacl 修改 ACL 条目时，默认会重新计算 mask::，不是工具“随意覆盖”了你的配置，而是在维护 POSIX ACL 的有效权限边界。它会把拥有组、命名用户和命名组条目中受 mask 约束的权限做并集；如果没有显式指定 mask，新的并集就可能让 mask 变宽。需要保留一个更窄的上限时，使用 -n 或在同一次命令中显式给出 m::。

记住一句话：普通 setfacl -m 关注“条目想要什么”，默认会让 mask 覆盖这些请求；-n 关注“现有 mask 不能被自动放宽”，显式 m:: 则把上限写清楚。

官方地址：https://savannah.nongnu.org/projects/acl

下面只讨论 Linux 上常见的 POSIX ACL。命令输出用来说明规则，不代表某一台机器的运行截图。

mask 为什么会跟着 ACL 条目变化

扩展 ACL 中，mask 是 owning group、named user 和 named group 这些“group class”条目的最大有效权限。owner 和 other 不受它限制。比如一个命名组要求 rwx，而当前 mask 只有 r-x，该命名组的有效权限就只有 r-x。

当你执行普通修改时，setfacl 默认会把参与 mask 的权限取并集。这样新增的条目不会因为旧 mask 太窄而立即失效，也符合“我刚授予了这项权限”的直觉。

# 给报表组增加写权限；默认行为会重新计算 mask
setfacl -m g:report:rwx report.csv

# 查看 ACL；命名组后面的 effective 代表真正受 mask 过滤后的权限
getfacl report.csv

因此，看到 mask::rwx 并不等于 owning group 一定拥有写权限；还要同时看 group:: 的原始权限。有效权限大致可以理解为：对受 mask 影响的条目，原始权限与 mask 取交集。

一次修改怎样让 mask 变宽

假设文件原来有如下关系：命名组只有 r-x，mask 也是 r-x。现在给另一个命名用户 analyst 设置 rw-，普通修改会发现 mask 至少需要包含 rw-，否则这个新条目的写权限无法有效生效。

# 先把 group class 的上限限制在只读和执行
setfacl -m m::r-x report.csv

# 普通修改命名用户；因为请求包含 w，默认可能把 mask 调整为 rwx 或 rw-
setfacl -m u:analyst:rw- report.csv

# 读取原始条目和 effective 注释，区分“请求权限”和“实际权限”
getfacl report.csv

这里的“可能”取决于同一个 ACL 中其他受 mask 约束条目的并集。核心不是某个单独用户，而是所有相关条目共同决定上限。也正因为如此，ls -l 显示的组权限位在扩展 ACL 场景下对应 mask，不能单独当作 owning group 的原始权限。

普通修改、-n 和显式 mask 有什么区别

三种写法的意图不同。普通写法适合希望新增条目按请求生效的场景；-n 适合把现有 mask 当作安全上限，不让本次条目修改自动放宽；显式 m:: 适合把最终上限写进同一份 ACL 变更中。

# 保持现有 mask，不让新增用户的 rw- 自动放宽上限
setfacl -n -m u:analyst:rw- report.csv

# 同时写入条目和最终上限；读者可从命令本身看出设计意图
setfacl -m u:analyst:rw-,m::r-x report.csv

要注意，-n 不是“拒绝添加条目”。它仍会写入命名用户条目，只是该条目的有效权限会受到原 mask 限制，getfacl 可能显示 #effective:r-x 之类的注释。

default ACL 和排查时最容易混淆的地方

如果命令带 -d，操作对象是目录的 default ACL。它为将来在目录中创建的文件和子目录提供继承模板，不会把已经存在的文件立即改一遍。default ACL 中存在命名用户或命名组时，也需要有对应的 default mask。

# 给目录设置默认命名组权限；新建对象时才会继承
setfacl -d -m g:report:r-x,m::r-x shared

# 分开查看目录自身 ACL 和 default ACL，避免只看到了其中一层
getfacl shared

排查时建议按这个顺序看：先确认你修改的是 access ACL 还是 default ACL；再看 user::、group::、命名条目和 mask::；最后看 effective 注释。若只盯着 ls -l 的组权限位，很容易把 mask 误认为 owning group 的原始权限。

常见问题

显式写了 m::r-x 后还会被自动放宽吗？ 默认情况下，显式给出 mask 后不会按默认规则再次重算；如果同时使用 --mask，则会强制按相关条目重算。

-n 会让命名用户条目失效吗？ 不会。它保留条目，只是不调整现有 mask，因此最终权限可能被 effective 限制。

为什么 ls -l 的组权限和 getfacl 不一样？ 扩展 ACL 下，ls -l 的组位对应 mask；要判断 owning group 的实际权限，还需要和 group:: 条目一起看。