Linux用户权限漂移是长期配置偏差积累所致，修复需先基于基线定位源头再精准收敛，禁用全盘chmod/chown，推荐Ansible等声明式工具固化权限并定时校验。
Linux用户权限漂移不是突然发生的错误，而是长期缺乏管控后积累的配置偏差——比如手动改过/etc/passwd却忘了同步组策略，或脚本批量chown时路径写错导致/home下部分子目录属主异常。修复关键不在“一键”，而在快速定位偏差源头并按需收敛。
先确认漂移是否存在，而不是直接修复权限漂移必须基于明确基线才能判断。没有基线的“修复”可能把正确配置覆盖成错误状态。
查当前用户核心权限状态：
id -nG看所属组，sudo -l看可执行命令范围，getent group sudo验证sudo组成员是否符合预期对比系统默认策略：RHEL/CentOS用rpm -V sudo检查二进制和配置文件是否被修改；Debian/Ubuntu运行debsums -c | grep -E "(mode|user|group)"列出权限、属主、属组异常项
扫描高风险目录归属：
find /etc /usr/local/bin -type f ! -uid 0 -o ! -gid 0 2>/dev/null | head -20快速发现非root拥有的系统级文件分层定位权限链路断裂点用户无法访问某文件，常因路径中某一级目录缺少x权限（不可进入），而非目标文件本身问题。
用namei -l /path/to/target一次性显示从/到目标的每级权限、属主、属组，中断点会标为[error]重点检查/home/用户名目录权限：若为700且用户不在该组，同组协作用户将完全无法进入其家目录
验证ACL干扰：
getfacl /home/用户名查看是否有user:xxx或mask限制实际生效权限针对性修复常见漂移场景不推荐全盘chmod 755或chown -R root:root /，这会破坏系统安全边界。应按角色精准重置。
恢复sudo功能：确保/usr/bin/sudo权限为4755，且/etc/sudoers语法正确（用visudo -c校验），再确认用户已在sudo组：usermod -aG sudo $USER修复系统命令权限：对/bin/mount、/usr/bin/passwd等设4755；对/etc/shadow设600；对/etc/passwd设644清理意外ACL：若getfacl /etc显示非空ACL条目，用setfacl -b /etc清除（除非业务明确需要）
用声明式工具固化权限，防止再次漂移人工修复只是救火，真正解决要靠自动化基线控制。
用Ansible的file模块定义关键路径权限，例如：- name: Ensure /etc/shadow is securefile:path: /etc/shadowowner: rootgroup: rootmode: '0600'每日定时校验：用find /etc -type f -printf "%M %p\n" | sort > /var/log/perm-baseline-$(date +%F)生成快照，配合diff检测变更禁止交互式提权：在/etc/sudoers中添加Defaults !tty_tickets和Defaults env_reset，降低误操作风险