如何检查 Linux 中的 ACL 中是否存在 UID？

Question

我需要编写一个程序，其中一部分涉及检查执行该程序的人的用户ID是否存在于该程序使用的文件的ACL文件中。也就是说，该程序写入文件，并且只有其 ID 和权限在 ACL 中输入的用户才允许执行此操作。程序如何检查这一点？我知道我需要使用 getresid 函数来获取执行进程的 RUID，但是如何根据 ACL 中存储的所有值检查该值？请帮我！

Answer 1

传统上，Linux 程序不做太多解释性访问控制。有两种情况。

案例1，简单案例。一个文件有一个 acl（或只是模式）。某些用户在其用户/组集下运行程序，内核根据模式/acl 允许或拒绝。全部完成。

案例2，硬质案例。程序以 root 身份运行，但希望代表其他用户进行操作。因此，它调用 setuid/setgid 来“成为”该用户，然后执行操作（如打开文件），然后调用将自身恢复到根权限。

但是，根据您对 chown 的回答的评论，我认为您属于情况 1。用户 foo 运行该程序，因此内核为您完成所有工作。

Answer 2

如果我误解了这个问题，我深表歉意，但希望您会发现这有帮助：

摘自一些 acl 文档：

以下函数检索和操作 ACL 条目：

acl_copy_entry()
acl_create_entry()
acl_delete_entry()
acl_first_entry()
acl_get_entry()

以下函数检索和操作字段在 ACL 条目中：

acl_add_perm() 
acl_clear_perm()
alc_delete_perm() 
acl_get_permset() 
acl_get_qualifier() 
acl_get_tag_type() 
acl_set_permset() 
acl_set_qualifier() 
acl_set_tag_type()

...

ACL 条目

ACL 条目由以下字段组成：

标签类型（在acl.h头文件中定义）：

ACL_USER_OBJ - 所属用户条目。

ACL_GROUP_OBJ - 所属组条目。

ACL_USER - 其他用户的条目。

ACL_GROUP - 其他组的条目。

ACL_OTHER_OBJ - 未包含在其他条目中的所有用户和组的条目。

标记限定符 - ACL_USER 条目的限定符值是用户 ID。

ACL_GROUP 条目的限定符值是组 ID。
任何 *_OBJ 条目的限定符值为 NULL。

来自acl_update.c：

/* 
Find the the ACL entry in 'acl' corresponding to the tag type and
   qualifier in 'tag' and 'id'. Return the matching entry, or NULL
   if no entry was found. */

static acl_entry_t
findEntry(acl_t acl, acl_tag_t tag, id_t qaul)
{
    acl_entry_t entry;
    acl_tag_t entryTag;
    uid_t *uidp;
    gid_t *gidp;
    int ent, s;

    for (ent = ACL_FIRST_ENTRY; ; ent = ACL_NEXT_ENTRY) {
        s = acl_get_entry(acl, ent, &entry);
        if (s == -1)
            errExit("acl_get_entry");

        if (s == 0)
            return NULL;

        if (acl_get_tag_type(entry, &entryTag) == -1)
            errExit("acl_get_tag_type");

        if (tag == entryTag) {
            if (tag == ACL_USER) {
                uidp = acl_get_qualifier(entry);
                if (uidp == NULL)
                    errExit("acl_get_qualifier");

                if (qaul == *uidp) {
                    if (acl_free(uidp) == -1)
                        errExit("acl_free");
                    return entry;
                } else {
                    if (acl_free(uidp) == -1)
                        errExit("acl_free");
                }

            } else if (tag == ACL_GROUP) {
                gidp = acl_get_qualifier(entry);
                if (gidp == NULL)
                    errExit("acl_get_qualifier");

                if (qaul == *gidp) {
                    if (acl_free(gidp) == -1)
                        errExit("acl_free");
                    return entry;
                } else {
                    if (acl_free(gidp) == -1)
                        errExit("acl_free");
                }

            } else {
                return entry;
            }
        }
    }
}

---

我不认为你需要检查特定文件的 ACL，但如果我错了，这里有一些信息：

$ getfacl myFile 
# file: myFile
# owner: jon
# group: people
user::rwx
user:foo:rwx
group::rwx
mask::rwx
other::--- 

然后从名称中获取 uid（未经测试但应该接近）：

$ grep /etc/passwd `getfacl myFile | grep owner | split -d":" -f2` | egrep -o "[0-9]+"

更多资源：

acl/facl 示例和参考
man acl

POSIX 访问控制列表

斯塔塔克