文件权限最小化，配置文件密钥禁止其他用户可读chmod

配置文件里存放着数据库密码、API 密钥、SSH 私钥时，权限设置不当等于把钥匙挂在门口。chmod 600 能让文件仅对属主可读写，其他用户一律无权限访问，是文件权限最小化里最基础也最重要的一步。
本文直接给出可照做的步骤、验证方法和避坑点，适合刚接触 Linux 的站长或运维新手。

为什么敏感文件必须使用 600 权限

Linux 文件权限分为读（r）、写（w）、执行（x）三组，分别作用于属主、属组和其他用户。600 表示属主有读写权限，属组和其他用户没有任何权限。

对比来看：默认的 644 权限允许所有用户读取文件，而 600 则断绝了其他用户读取内容的所有途径。
像 ~/.ssh/id_rsa、wp-config.php、.env 这类包含密钥的配置文件，一旦被低权限用户或恶意脚本读取，服务器很容易被横向渗透。

结论：只要文件里包含密钥、密码或 Token，就应设置成 600，目录则常用 700。

动手前需要确认的三件事

执行 chmod 600 不需要安装额外软件，但以下三点先看好：

1. 当前用户身份：文件属主必须是运行服务的用户，例如 Nginx 的 www-data、MySQL 的 mysql 或你的登录用户。
2. 文件路径：用 pwd 和 ls -l 确认目标文件的真实路径与当前权限。
3. 是否需要 sudo：如果文件属于 root 或其他用户，修改权限时需要 sudo 提权。

准备就绪后，用 ls -l 配置文件 先看当前权限，输出左边类似 -rw-r--r-- 就表示其他用户可读，必须处理。

分步执行 chmod 600

假设要保护的是 /etc/myapp/config.yml，执行以下命令：

sudo chown root:root /etc/myapp/config.yml
sudo chmod 600 /etc/myapp/config.yml

第一条命令将属主和属组改为 root，第二条把权限收紧到 600。
如果文件属于当前用户，直接执行：

chmod 600 ~/.ssh/id_rsa

如果你的服务需要读取该文件，务必将属主改成服务运行用户，否则服务会因无权限读取而报错。
例如 Nginx 需要读取 /etc/nginx/ssl/private.key，可将属主改为 www-data：

sudo chown www-data:www-data /etc/nginx/ssl/private.key
sudo chmod 600 /etc/nginx/ssl/private.key

注意：chmod 600 只解决文件自身权限，如果上层目录权限过松（例如 /etc 是 777），其他用户仍可能绕过目录进入文件。
敏感文件所在目录建议设置成 700 或 750。

如何确认权限已经生效

设置完成后，用 ls -l 查看：

ls -l /etc/myapp/config.yml
-rw------- 1 root root 1024 Jan 1 00:00 /etc/myapp/config.yml

看到 -rw------- 就表示权限已经是 600。
更严谨的验证是切换到其他用户尝试读取：

sudo su - nobody -s /bin/bash -c "cat /etc/myapp/config.yml"

如果输出 Permission denied，说明其他用户确实无法读取，安全设置生效。

高频问题与避坑清单

设置 600 后服务无法启动：多是因为属主不对，而不是权限太小。
用 ps aux | grep 服务名 确认运行用户，再 chown 调整。

备份时权限丢失：用 cp -p 保留属性，用 tar 备份时加 --preserve-permissions。
否则恢复到服务器后，又要重新执行 chmod 600。

防止以后创建的文件权限过大：umask 077 可以让新文件默认只有属主可读写。
在 /etc/profile 或用户的 ~/.bashrc 中加入该设置即可。

不要对密钥文件使用 777 或 666：即使是临时调试也不行，这类权限会瞬间让所有用户可读，等于直接泄露密钥。

Windows 系统编辑过配置文件后常见坑：回车换行符会被改成 \r\n，虽然不影响权限，但可能导致服务解析失败。
上传密钥文件后建议在 Linux 上执行 dos2unix 转换，再重新设置 600。

如果按照以上步骤操作后，
其他用户读取仍然报错，
大概率是上层目录权限或 SELinux 上下文问题，
可以用 ls -ld 检查每一层目录，
用 restorecon -v 文件路径 恢复 SELinux 标签。

文件权限最小化不是一次性的操作，而是每次部署、恢复备份、上传新配置文件后都要检查的固定动作。
建议把 chmod 600 写进部署脚本，并用 find 定期扫描权限异常的文件：

find /etc /opt /home -type f \( -name "*.key" -o -name "*.pem" -o -name ".env" \) ! -perm 600 -ls

这句命令能找出所有密钥类文件中权限不是 600 的项，配合计划任务可以持续保证安全基线。
权限越小，风险越小，这句老话在服务器密钥管理上永远不会过时。