отсутствие разделения счетов в Mac 10,9

Question

Я смущен некоторым поведением, которое я вижу в Mac OS 10.9 или лежащем в основе BSD.

Я администратор и хотел добавить учетную запись для члена семьи. Они не сообразительны, поэтому я хочу убедиться, что они не могут случайно удалить мои файлы, то есть стандартное разделение учетных записей UNIX.

Поэтому я создал стандартную (не администраторскую) учетную запись через Настройки> Пользователи. Экспериментируя, я с удивлением обнаружил, что при создании файла в моем домашнем каталоге (права доступа которого я изменил на drwx------ , т.е. режим 700) новый пользователь все еще может cd в этот каталог (!) и удали мои файлы!

Я вижу, что новый пользователь находится в группе "staff", которая также является группой, связанной с моим домашним каталогом. Но разве мой режим 700 не означает, что группа не имеет значения, и пользователь должен быть мной, чтобы видеть и удалять файлы в ней?

--Смущенный

Answer 1

Я не уверен, что правильно понимаю ваше описание; Вы изменили разрешения для вашего домашнего каталога на 700 или для нового файла в вашем доме? Если вы установите их для файла, это не имеет значения для удаления файла - права доступа к файлу регулируют доступ к содержимому файла, а перемещение, переименование и удаление файла не изменяют его содержимое. Вместо этого перемещение, переименование и удаление всех изменяет содержимое каталога, в котором находится файл, и, следовательно, зависит только от разрешений каталога.

Имейте в виду, никто кроме вас не должен иметь права на запись в ваш домашний каталог (нужно перемещать, переименовывать и удалять файлы в нем). Проверьте его разрешения с помощью команды ls -lde ~:

$ ls -lde ~
drwxr-xr-x@ 61 gordon  staff  2074 Dec 18 09:45 /Users/gordon
 0: group:everyone deny delete

У моего дома (показанного выше) есть стандартные разрешения OS X - режим 755 (только у меня есть права на запись, у группы и других есть только чтение и выполнение), а также есть запись контроля доступа, запрещающая кому-либо (включая меня) возможность удалить его. , Записи контроля доступа переопределяют обычные разрешения Unix, поэтому возможно, что у вас есть ACL, позволяющий другому пользователю удалять вещи из вашего дома.