Читаем Linux API. Исчерпывающее руководство полностью

(perm & S_IXUSR)?

(((perm & S_ISUID) && (flags & FP_SPECIAL))? 's': 'x'):

(((perm & S_ISUID) && (flags & FP_SPECIAL))? 'S': '-'),

(perm & S_IRGRP)? 'r': '-', (perm & S_IWGRP)? 'w': '-',

(perm & S_IXGRP)?

(((perm & S_ISGID) && (flags & FP_SPECIAL))? 's': 'x'):

(((perm & S_ISGID) && (flags & FP_SPECIAL))? 'S': '-'),

(perm & S_IROTH)? 'r': '-', (perm & S_IWOTH)? 'w': '-',

(perm & S_IXOTH)?

(((perm & S_ISVTX) && (flags & FP_SPECIAL))? 't': 'x'):

(((perm & S_ISVTX) && (flags & FP_SPECIAL))? 'T': '-'));

return str;

}

files/file_perms.c

15.4.2. Права доступа к каталогам

Для каталогов применяется та же схема прав доступа, что и для файлов. Однако три варианта прав доступа интерпретируются иначе.

• Чтение. Содержимое (то есть список имен файлов) каталога можно вывести (например, с помощью команды ls).

Экспериментируя с проверкой поведения бита разрешения на чтение каталога, имейте в виду, что в ряде версий Linux создается псевдоним команды ls, включающий флаги (например, — F), которому необходим доступ к информации индексных дескрипторов файлов в данном каталоге, а для этого требуется разрешение на выполнение применительно к каталогу. Для гарантии использования «чистой» команды ls можно указать полный путь для нее (/bin/ls).

Запись. В данном каталоге можно создавать файлы или удалять их из него. Обратите внимание: в этом случае не обязательно иметь какие-либо права доступа к файлу, чтобы удалить его.

• Выполнение. К файлам в каталоге разрешен доступ. Разрешение на выполнение применительно к каталогу иногда называют разрешением на поиск.

При доступе к файлу разрешение на выполнение необходимо для всех каталогов, которые содержатся в имени пути. Так, например, для чтения файла /home/mtk/x потребовалось бы разрешение на выполнение каталогов /, /home и /home/mtk (а также разрешение на чтение самого файла x). Если текущим рабочим каталогом является /home/mtk/sub1 а мы осуществляем доступ по относительному имени пути../sub2/x, то в этом случае необходимо иметь разрешение на выполнение для каталогов /home/mtk и /home/mtk/sub2 (но не для каталога / или /home).

Право доступа на чтение каталога позволяет лишь увидеть список имен файлов в этом каталоге. Следует иметь разрешение на выполнение для каталога, чтобы получить доступ к его содержимому или к информации индексных дескрипторов файлов в данном каталоге.

И наоборот, при наличии разрешения на выполнение для каталога, но отсутствии права доступа на чтение имеется доступ к файлу в этом каталоге, если известно имя файла, однако нельзя вывести содержимое (то есть имена других файлов) данного каталога. Это простой и часто используемый метод контроля доступа к содержимому общедоступного каталога.

Чтобы добавлять файлы в каталоге или удалять их, необходимо иметь разрешение на выполнение и запись для данного каталога.

15.4.3. Алгоритм проверки прав доступа

Ядро проверяет права доступа к файлу всякий раз при указании имени пути в системном вызове, который осуществляет доступ к файлу или к каталогу. Если имя пути, переданного системному вызову, содержит префикс каталога, то, помимо проверки необходимых прав доступа к самому файлу, ядро проверяет также разрешение на выполнение для каждого каталога в таком префиксе. Проверки прав доступа выполняются благодаря использованию действующих идентификаторов пользователя, группы и добавочной группы для процесса. (Если быть абсолютно точным, то для проверки прав доступа к файлу в Linux вместо соответствующих действующих идентификаторов задействуются идентификаторы пользователя и группы для данной файловой системы, как описано в разделе 9.5.)

Как только файл открывается с помощью системного вызова open(), последующие системные вызовы (такие как read(), write(), fstat(), fcntl() и mmap()), которые работают с возвращенным дескриптором файла, не выполняют проверку прав доступа.

Правила, применяющие ядро при проверке прав доступа, выглядят так.

1. Если процесс привилегирован, предоставляется полный доступ.

2. Если действующий UID для процесса совпадает с идентификатором пользователя (владельца) файла, то предоставляется доступ в соответствии с правами доступа владельца файла. Например, право доступа на чтение предоставляется, если в маске прав доступа к файлу установлен бит разрешения на чтение для владельца; в противном случае такое разрешение не предоставляется.

3. Если действующий GID или идентификатор любой добавочной группы для процесса совпадает с идентификатором группы (владельца группы) для файла, то доступ предоставляется в соответствии с правами доступа группы для данного файла.

4. В остальных случаях доступ к файлу предоставляется в соответствии с правами доступа для остальных.