Linux getfacl -n 怎样显示数字 UID 和 GID

在 Linux ACL 排障中，最容易被忽略的是“名字不是身份本身”。getfacl 默认会把用户和组 ID 解析成名称；当目录服务不可用、容器内外的 /etc/passwd 不一致，或文件从一台机器迁移到另一台机器时，同一个数字 UID 可能显示成不同名字。需要保留可比对证据时，直接给命令加 -n：getfacl -n PATH。

先对照普通输出与数字输出

对同一个文件连续执行两次命令，才能判断变化来自名称解析，而不是 ACL 本身。下面是一个可复用的采集片段，注释说明了每个参数的目的：

# 先保留默认名称显示，便于阅读 ACL 条目
getfacl /srv/share/report.csv

# 再禁止用户和组名解析，固定输出数字 UID/GID
getfacl -n /srv/share/report.csv

两次输出中的权限部分通常保持一致，变化主要出现在文件属主、属组，以及命名用户或命名组条目的身份字段。例如默认输出可能是 user:deploy:r-x，数字输出会把它显示为类似 user:1001:r-x。这里的数字只是身份标识，不是权限值；r-x 仍然表示读和执行。

数字 UID 和 GID 应该看哪些位置

getfacl 输出开头通常有文件、owner、group 等注释行，随后是 ACL 条目。排查时建议按三层读取：

• 对象层：# file 确认实际路径，避免相对路径或软链接让两次采集指向不同对象。
• 身份层：# owner、# group 以及 user:、group: 条目确认 UID/GID；使用 -n 后，这些身份更适合跨机器比较。
• 权限层：r、w、x 和 mask 共同决定有效权限。不要把数字 UID 当作八进制权限，也不要因为名字变了就判断权限自动改变。

如果输出出现 #effective:，还要注意 ACL mask 对命名用户和组条目的限制。本文的 -n 只负责身份显示；它不会绕过 mask，也不会修改 ACL。

名称解析异常时用 -n 固定排障证据

在容器、NFS 挂载、集中目录服务或离线恢复环境中，名称解析可能随机器环境变化。此时不要只截取一行名称，而应保存完整的数字输出，并把目标路径写进同一份记录：

# 用固定路径采集访问 ACL，保留数字身份用于跨环境对照
target=/srv/share/report.csv
printf '目标: %s\n' "$target"
getfacl -n -a -- "$target"

# 目录排障只在确实需要时递归，避免输出范围失控
getfacl -n -R -- /srv/share

-- 用于分隔选项和路径，目标名称以连字符开头时更安全。递归模式可能产生大量输出，生产排障应记录采集范围和时间，必要时先对单个文件复核。

几个容易混淆的参数边界

最稳妥的组合是先用 getfacl -n -a file 缩小问题，再根据需要加入 -d 或 -R。如果只是想知道“这个条目对应哪个数字身份”，不要误加 -d 去看目录默认 ACL。

结语：把身份和权限分开记录

“Linux getfacl -n 怎样显示数字 UID 和 GID”的答案就是在目标路径后加入 -n。它解决的是名称解析不稳定带来的可比对性问题，不负责授权、不修复权限，也不改变 ACL 结构。排障记录至少保留目标路径、-n 命令和完整输出；这样即使两台机器把同一个数字 ID 显示成不同名称，仍能从身份层和权限层分别判断问题。

相关问答

加了 -n 后权限会变化吗？

不会。-n 只改变用户和组 ID 的显示形式，读权限、写权限、执行权限和 mask 仍按原 ACL 输出。

为什么普通 getfacl 看不到数字 UID？

默认行为倾向于显示可读的名称。使用 getfacl -n，或在脚本和跨机器比对场景中统一使用该参数即可。