Linux中如何设置指定用户家目录权限与访问控制

执行 chmod 700 /home/username 只能修复当前用户家目录本身的访问权限，但后续新建文件（默认通常为 644）和新建子目录（默认通常为 755）依然可能被其他用户读取。因此，想要在 Linux 中真正实现家目录权限私有化，必须结合 umask 077 使用，才能确保所有新创建内容默认仅自己可访问。

将家目录权限设置为 700，是 Linux 用户目录权限管理中最常见也最稳妥的做法。但单独执行 chmod 700 /home/username，只能处理现有目录的权限表现；如果想让以后新建的文件和子目录也始终保持私有状态，还必须同步配置 umask。因为系统默认的 022 会生成权限较宽松的 755 目录和 644 文件，存在被其他本地用户读取的风险。

为什么 chmod 700 /home/username 不够用

把家目录本身设为 700，确实可以阻止其他用户进入目录或列出目录内容，但真正的问题往往出现在之后创建的文件和目录上：当 umask 为默认的 022 时，新建文件通常是 644，新建目录通常是 755。这意味着，其他用户仍有机会读取你的配置文件、日志文件，甚至像 ~/.bash_history 这类敏感内容。换句话说，不是“家目录权限没设置”，而是“新生成内容的默认权限过于开放”。

• chmod 700 只会影响目标家目录本身，不会递归修改全部内容，也不会改变以后新创建文件和目录的默认权限
• 普通用户通常无法安全地对 /home/username 执行 chmod -R；即便能够递归修改，风险也很高，例如错误改动 ~/.ssh 的权限，可能导致 SSH 登录被拒绝
• 许多 Linux 发行版（例如 Ubuntu）默认采用 umask 022，它会在 shell 会话中持续生效，因此单次执行 chmod 无法从根本上解决问题

如何永久设置家目录新建内容的默认权限

想要从源头上保护 Linux 家目录隐私，关键不是事后逐个修权限，而是让系统在创建文件和目录时就默认使用更严格的权限。这个设置通常通过 umask 完成，并会在用户登录时由 shell 初始化脚本加载。常见配置优先级一般为：/etc/login.defs（影响新用户默认行为）→ /etc/profile 或 /etc/bash.bashrc（影响所有用户）→ ~/.bashrc（仅影响当前用户）。

• 如果只想为单个用户设置家目录默认私有权限，可编辑 ~/.bashrc，在文件末尾添加一行 umask 077，然后执行 source ~/.bashrc 立即生效
• 如果希望对系统内所有新老用户统一生效，可在 /etc/profile 末尾加入 umask 077；注意不要写在 if [ -n "$PS1" ]; then 代码块内部，否则非交互式 shell 可能不会加载该设置
• 验证配置是否成功：重新打开终端后执行 umask，正常应输出 0077；再运行 mkdir test && ls -ld test，新目录权限应显示为 drwx------，也就是 700

chown 和 chgrp 通常不需要动家目录所有权

在大多数情况下，Linux 用户通过正常流程创建后，家目录的属主本来就是该用户本人，所属用户组通常也是同名组。例如用户 alice 的家目录一般就是 alice:alice。只要没有手动执行过 chown，或者没有在创建用户时使用 useradd -g othergroup 指定其他主组，一般无需再去修改家目录的所有权或所属组。

• 典型错误示例：sudo chown root:root /home/alice —— 这样会直接导致 alice 自己都无法正常进入其家目录
• 如果确实需要将某个子目录（例如 ~/public_html）开放给 Web 服务访问，应只调整该子目录权限，而不是放开整个家目录，例如：chmod 755 ~/public_html，同时其父目录至少要保留执行权限 x，即 701 或更高
• 需要特别注意的是：~/.ssh 权限必须为 700，~/.ssh/authorized_keys 权限必须为 600；启用 umask 077 后，新创建的这类敏感文件通常会自动满足要求，但此前已经存在的宽松权限文件仍需手动单独修复

容易被忽略的细节：login.defs 和 systemd-user 的干扰

某些 Linux 系统，尤其是使用 systemd 的发行版，可能不会完全依赖 /etc/profile 来设置默认权限，而是通过 /etc/login.defs 中的 UMASK 值初始化用户环境。另外，systemd --user 服务拥有独立环境变量和启动方式，也可能不会自动读取 shell 配置文件。

• 建议检查 /etc/login.defs 中是否存在 UMASK 配置项；如果当前值是 022，可考虑改为 077，这样会影响后续新建用户的默认权限策略
• 如果用户是通过图形界面环境（如 GNOME 或 KDE）登录，shell 配置文件不一定会自动执行，这时应进一步确认桌面环境是否会读取 ~/.profile 或 ~/.pam_environment
• 可以通过 getent passwd username 查看用户真实家目录路径，避免对软链接、挂载点或独立分区路径误操作；例如当 /home 单独挂载时，/home/username 可能并不位于根文件系统中