在Linux系统中，要为新用户设置默认的umask，最直接且系统级的方法是修改
/etc/login.defs文件中的
UMASK参数，或者通过编辑
/etc/profile、
/etc/bash.bashrc等shell初始化脚本来全局设定。这决定了新创建的文件和目录的默认权限，是系统安全配置的重要一环。 解决方案
要为Linux系统中的新用户设置默认的umask，通常有两种主要的策略，每种都有其适用场景和优先级。
方法一：修改
/etc/login.defs(推荐用于系统级默认值)
这是设置新用户默认umask最常见且影响最广的方式。
/etc/login.defs文件包含了创建用户时的一些默认参数，包括umask。
-
打开文件进行编辑： 使用你喜欢的文本编辑器（比如
vim
或nano
）打开/etc/login.defs
文件。你需要root权限。sudo vim /etc/login.defs
-
查找并修改
UMASK
参数： 在文件中找到UMASK
这一行。你可能会看到它被注释掉了，或者已经有了一个默认值（比如022
或002
）。UMASK 022
：这意味着新创建的文件权限是644
(rw-r--r--)，新目录权限是755
(rwxr-xr-x)。这是比较安全的默认值，用户自己可写，但组内和其他用户只有读权限。UMASK 002
：这意味着新创建的文件权限是664
(rw-rw-r--)，新目录权限是775
(rwxrwxr-x)。这在团队协作环境中可能更方便，允许组内成员对文件有写入权限。
根据你的需求，修改或取消注释这一行，并设置你想要的umask值。例如，如果你希望新用户默认的文件和目录权限更宽松，允许组内成员写入，可以设置为：
UMASK 002
如果你更倾向于严格的权限，只允许文件所有者写入：
UMASK 022
保存并退出： 保存对
/etc/login.defs
的修改。
方法二：修改 Shell 配置文件 (适用于特定 Shell 或更灵活的设置)
这种方法通过修改用户的shell初始化脚本来设置umask。它通常在用户登录时执行。
-
修改
/etc/profile
(全局配置，影响所有用户，所有shell)/etc/profile
是一个全局的配置文件，登录时会执行。你可以在这里添加一行来设置umask。sudo vim /etc/profile
在文件末尾添加或修改：
umask 002
或者：
umask 022
保存并退出。
-
修改
/etc/bash.bashrc
(仅影响使用 Bash 的用户) 如果你的系统主要使用Bash，并且你希望这个设置只对Bash用户生效，可以修改/etc/bash.bashrc
。sudo vim /etc/bash.bashrc
在文件末尾添加或修改：
umask 002
保存并退出。
优先级说明：
当一个新用户登录时，系统会按照一定的顺序读取这些配置：
/etc/login.defs
中的UMASK
参数在用户创建时就生效，它会影响/etc/skel
目录下的文件权限，这些文件在新用户主目录创建时会被复制过去。/etc/profile
和/etc/bash.bashrc
等全局 shell 配置文件会在用户登录后执行，它们会覆盖/etc/login.defs
设置的默认umask。- 用户主目录下的
~/.profile
、~/.bashrc
等个人配置文件会进一步覆盖全局配置。
所以，如果你在
/etc/login.defs设置了
UMASK 022，但在
/etc/profile中又设置了
UMASK 002，那么最终生效的是
002。最稳妥的做法是保持这些配置的一致性，或者明确知道它们的优先级。
为什么umask如此重要？理解文件权限与安全基石
我个人觉得，umask这东西，初看挺不起眼的，但它实实在在是系统安全的第一道防线。很多人在部署应用或者配置服务器的时候，往往把重心放在防火墙、加密、认证这些“大”安全措施上，却忽略了文件权限这种基础中的基础。但你想想看，如果一个敏感文件被创建出来，默认就是所有人可读写，那你的防火墙再严密，也挡不住本地的误操作或者被入侵后的权限滥用。
umask，全称是“user file creation mode mask”，顾名思义，它是一个掩码，用来“屏蔽”掉新创建文件或目录的一些权限位。它不是直接设定权限，而是从一个“最大可能权限”中减去（或者说是屏蔽掉）某些权限，从而得到最终的默认权限。
文件权限，我们都知道有读（r）、写（w）、执行（x）这三种，分别对应数字4、2、1。把它们组合起来，就有了我们常见的八进制权限表示，比如
644(rw-r--r--) 或
755(rwxr-xr-x)。这些权限是针对三个实体设定的：文件所有者（user）、文件所属组（group）和其他用户（others）。
umask的重要性就在于，它在文件或目录诞生的一瞬间，就给它们打上了权限的烙印。如果umask设置得过于宽松（比如
000），那么新创建的文件默认就是
666(rw-rw-rw-)，目录就是
777(rwxrwxrwx)。这意味着任何用户都能读取、修改甚至删除这些文件，这在任何生产环境中都是灾难性的。反之，一个合理的umask（比如
022或
002），能够确保文件在创建之初就拥有一个相对安全的默认权限，避免了后续手动修改权限的麻烦，也降低了安全风险。它强制了一种“最小权限原则”的默认行为，这对于维护系统整体的安全性至关重要。
umask值究竟代表什么？0022和0002的区别在哪里？
这地方，我刚开始接触Linux的时候，也老是犯迷糊，umask这四个数字到底怎么算出来的？它跟我们平时看到的
644、
755这种文件权限表示法是反着来的。
umask的计算逻辑是这样的：
- 对于文件，最大默认权限是
666
(rw-rw-rw-)，因为它默认不应该有执行权限。 - 对于目录，最大默认权限是
777
(rwxrwxrwx)，因为目录的执行权限代表进入目录。
umask值就是从这些最大权限中“减去”的权限位。这里的“减去”更准确的理解是“屏蔽”或“不允许”。
我们来具体看看
0022和
0002：
1. umask
0022
Teleporthq
一体化AI网站生成器，能够快速设计和部署静态网站
182
查看详情
umask值：
0
(所有者)2
(组)2
(其他)-
计算方式：
-
文件：
666
-022
=644
(rw-r--r--)- 所有者：
6 - 0 = 6
(读写) - 组：
6 - 2 = 4
(只读) - 其他：
6 - 2 = 4
(只读)
- 所有者：
-
目录：
777
-022
=755
(rwxr-xr-x)- 所有者：
7 - 0 = 7
(读写执行) - 组：
7 - 2 = 5
(读执行) - 其他：
7 - 2 = 5
(读执行)
- 所有者：
-
文件：
含义： 当umask是
0022
时，新创建的文件，所有者可以读写，但同组用户和其他用户都只能读。新创建的目录，所有者可以读写执行，同组用户和其他用户可以读和进入（执行），但不能修改目录内容。适用场景： 这是最常见的默认umask值，尤其在单用户环境或对安全性要求较高的服务器上。它确保了用户创建的文件默认是相对私密的，只有文件所有者有完整的控制权。
2. umask
0002
umask值：
0
(所有者)0
(组)2
(其他)-
计算方式：
-
文件：
666
-002
=664
(rw-rw-r--)- 所有者：
6 - 0 = 6
(读写) - 组：
6 - 0 = 6
(读写) - 其他：
6 - 2 = 4
(只读)
- 所有者：
-
目录：
777
-002
=775
(rwxrwxr-x)- 所有者：
7 - 0 = 7
(读写执行) - 组：
7 - 0 = 7
(读写执行) - 其他：
7 - 2 = 5
(读执行)
- 所有者：
-
文件：
含义： 当umask是
0002
时，新创建的文件，所有者和同组用户都可以读写，其他用户只能读。新创建的目录，所有者和同组用户都可以读写执行，其他用户可以读和进入。适用场景： 这种umask值通常用于团队协作环境，比如一个开发团队共享一个项目目录。它允许同组的成员对新创建的文件和目录有写入权限，方便协作，减少权限管理的麻烦。当然，这就意味着你需要信任你的组内成员。
简单来说，
0022更安全、更私有；
0002更开放、更利于组内协作。选择哪个取决于你的具体需求和对安全性的权衡。
除了/etc/login.defs，还有哪些地方可以修改默认umask？优先级是怎样的？
你可能会发现，即便你在
/etc/login.defs里设置了
UMASK 022，但有些用户登录后，其默认umask却是
0002。这很常见，因为Linux系统提供了多层配置机制，就像我们穿衣服，系统有统一的着装规定（
/etc/login.defs），但你自己的衣柜（
~/.bashrc）里的衣服，你肯定更优先穿。
除了
/etc/login.defs，以下这些地方也能影响或修改默认umask，并且它们之间存在一个明确的优先级顺序：
/etc/profile
： 这是一个全局的shell初始化脚本，对所有用户都有效，并且通常在用户登录时执行。如果在这里设置了UMASK
命令，它会覆盖/etc/login.defs
的设置。-
*
/etc/bash.bashrc
(或 `/etc/profile.d/.sh`)：**/etc/bash.bashrc
是针对所有Bash shell用户生效的配置文件，通常在非登录的交互式shell启动时执行。它也可以包含UMASK
命令。/etc/profile.d/
目录下的脚本文件（通常以.sh
结尾）也会在用户登录时被/etc/profile
调用执行。很多发行版会把一些特定的配置放在这里，比如你可能会看到一个umask.sh
或locale.sh
。
-
用户主目录下的配置文件 (
~/.profile
,~/.bash_profile
,~/.bashrc
,~/.cshrc
等)： 这是用户自己的配置文件，优先级最高。~/.profile
：当用户登录时，如果存在，会执行它。~/.bash_profile
：Bash shell 在登录时会优先查找这个文件，如果存在，则执行它，并通常会调用~/.bashrc
。~/.bashrc
：非登录的交互式Bash shell启动时执行。很多用户会在这里自定义他们的umask。
优先级顺序（从低到高，高优先级会覆盖低优先级）：
/etc/login.defs(影响用户创建时的默认文件权限) ↓
/etc/profile↓
/etc/profile.d/*.sh↓
/etc/bash.bashrc(仅对Bash用户，且通常在非登录shell中) ↓
~/.bash_profile(或
~/.profile) ↓
~/.bashrc
实际操作中的考量：
-
系统级默认： 如果你想为所有新用户设置一个统一的、严格的umask，首选
/etc/login.defs
。 -
全局但可覆盖： 如果你想设置一个全局的umask，但允许用户自行修改，可以在
/etc/profile
或/etc/bash.bashrc
中设置。 -
用户自定义： 用户可以在自己的
~/.bashrc
或~/.profile
中设置UMASK
命令，来覆盖所有系统级的默认设置。
所以，当你发现umask不符合预期时，需要从这些文件中由高到低地排查，看看是哪个配置最终生效了。有时候，一个用户在自己的
~/.bashrc里不小心设置了一个错误的umask，就会导致意想不到的权限问题。 如何验证新用户的umask是否设置成功？
验证嘛，这是个好习惯，我经常看到有人改了配置，信心满满，结果一测发现没生效，白忙活一场。验证umask是否设置成功，需要几个步骤，确保我们修改的配置确实应用到了新用户身上。
-
创建新的测试用户： 这是最关键的一步。因为umask的设置通常影响的是新创建的用户。如果你只修改了配置，然后用现有用户登录，它可能不会立即生效（除非你修改的是用户自己的
~/.bashrc
）。sudo adduser testuser
按照提示设置密码和其他信息。
-
切换到新用户或以新用户身份登录： 你可以使用
su - testuser
命令切换到testuser
用户，或者直接注销当前会话，然后以testuser
身份登录。su - testuser
-
检查当前用户的umask值： 在新用户的shell中，直接运行
UMASK
命令，它会显示当前生效的umask值。umask
如果显示的是你期望的值（比如
0022
或0002
），那么第一步就成功了。 -
创建文件和目录并检查其权限： 这是验证umask是否真正按预期工作的最直观方法。umask的目的是影响新创建的文件和目录的默认权限。
# 创建一个文件 touch testfile.txt # 创建一个目录 mkdir testdir
然后，检查它们的权限：
ls -l testfile.txt ls -ld testdir
期望结果示例：
-
如果你设置的umask是
0022
：ls -l testfile.txt
应该显示类似-rw-r--r--
(权限644
)ls -ld testdir
应该显示类似drwxr-xr-x
(权限755
)
-
如果你设置的umask是
0002
：ls -l testfile.txt
应该显示类似-rw-rw-r--
(权限664
)ls -ld testdir
应该显示类似drwxrwxr-x
(权限775
)
如果这些权限与你通过umask计算出的预期值一致，那么恭喜你，你的umask设置成功了！如果不一致，就需要回到前面提到的优先级部分，仔细排查是哪个配置文件最终覆盖了你的设置。记得，验证是调试过程中不可或缺的一环。
-
以上就是Linux如何设置新用户默认的umask的详细内容，更多请关注知识资源分享宝库其它相关文章！
相关标签： linux 防火墙 配置文件 linux系统 区别 为什么 bash vim linux 大家都在看： Linux命令行中grep命令的详细用法 如何在Linux命令行中使用history命令提高效率？ 如何在Linux中限制网络带宽？ 如何在Linux命令行中进行文件操作？ 如何在Linux中监控网络接口流量？
发表评论:
◎欢迎参与讨论，请在这里发表您的看法、交流您的观点。