Linux 命令：getfacl

getfacl 主打「轻量、简洁、高效」，仅提供少量实用选项，围绕输出格式、信息过滤、备份导出设计，日常使用掌握 4 个核心选项即可覆盖 99% 的权限查看、备份场景，无冗余功能，易记易用：

关键默认行为

1. getfacl 默认执行 -a 选项，即仅显示访问 ACL 规则，若需查看默认 ACL 规则，需显式指定 -d；
2. 输出结果默认包含注释行（#file、#owner、#group），便于识别目标对象，导出备份时可通过 -p 忽略；
3. 对目录执行时，若配置了默认 ACL 规则，会同时显示访问 ACL和默认 ACL（需无 -a 限制）。

经典实操示例

getfacl 的使用场景集中在ACL 权限查看、配置验证、规则排查、权限备份四大核心场景，所有示例均与 setfacl 联动，贴合真实的精细化权限管理场景，可直接复用。

前置准备

1. 用 setfacl 配置测试 ACL 权限，为后续查看做准备；
2. 用 ls -l 确认目标对象是否存在 ACL 权限（权限列末尾 + 号）；

# 配置测试 ACL：给 tom 配 rw，给 dev 配 rwx，为目录配置默认 ACL
touch test.txt && mkdir test_dir
setfacl u:tom:rw g:dev:rwx test.txt
setfacl -R -d u:tom:rx g:dev:rwx test_dir
# 确认 ACL 存在
ls -l test.txt test_dir
# 输出示例：-rw-rw-r--+ 1 root root 0 月 日 时：分 test.txt

场景 1：基础用法——查看单个文件/目录的完整 ACL 权限

直接执行 getfacl，查看目标对象的所有 ACL 权限信息，包括传统权限映射、自定义 ACL 规则，是最常用的基础操作：

# 查看文件 test.txt 的 ACL 权限
getfacl test.txt
# 查看目录 test_dir 的 ACL 权限（含访问 ACL+ 默认 ACL）
getfacl test_dir

输出说明：会清晰展示所有者、所属组、自定义用户/组规则、掩码、其他用户权限，目录还会展示 default: 开头的默认规则。

场景 2：精准查看——仅显示默认 ACL 规则

通过 -d 选项，单独查看目录的默认 ACL 规则，无需显示访问 ACL 规则，适配排查新文件权限继承问题的场景：

# 仅查看 test_dir 的默认 ACL 规则，忽略访问 ACL 规则
getfacl -d test_dir

输出说明：仅显示 default: 开头的规则段，清晰验证目录的默认继承配置是否正确。

场景 3：简洁查看——忽略注释行 + 简洁格式

通过 -p（忽略注释行）+ -t（简洁格式）组合，输出无冗余、高浓缩的 ACL 权限信息，适配终端快速排查、脚本解析的场景：

# 简洁查看 test.txt 的 ACL 权限，无注释行、合并重复字段
getfacl -p -t test.txt

输出说明：仅保留核心权限规则，无 # 开头的注释行，字段格式更简洁，便于快速抓取关键信息。

场景 4：批量查看——递归查看目录所有子文件的 ACL 权限

通过 -R 选项，递归查看目录及其下所有子文件/子目录的 ACL 权限，适配验证 setfacl -R 递归配置的结果，排查子文件权限不匹配问题：

# 在 test_dir 内创建子文件/子目录，用于递归查看
touch test_dir/sub.txt && mkdir test_dir/sub_dir
# 递归查看 test_dir 及其下所有子对象的 ACL 权限
getfacl -R test_dir

输出说明：会依次输出目录本身、子文件、子目录的 ACL 权限，清晰验证递归配置的权限是否全部生效。

场景 5：批量匹配——查看通配符匹配的所有对象的 ACL 权限

支持通配符 */?，批量查看匹配规则的所有文件/目录的 ACL 权限，适配批量验证同类型文件的权限配置：

# 查看当前目录下所有 txt 文件的 ACL 权限
getfacl *.txt
# 查看当前目录下所有以 test 开头的对象的 ACL 权限
getfacl test*

场景 6：配置验证——核对 setfacl 的配置结果

这是 getfacl最核心的日常用法：通过 getfacl 查看 ACL 权限，核对与 setfacl 的配置是否一致，验证权限是否成功生效，排查配置错误：

# 原配置：给 tom 配 rw，给 dev 配 rwx
setfacl u:tom:rw g:dev:rwx test.txt
# 验证配置结果：核对是否存在 user:tom:rw-、group:dev:rwx 规则
getfacl test.txt

排查要点：若规则未显示，说明 setfacl 配置失败，需检查文件系统是否支持 ACL、命令语法是否正确。

场景 7：权限备份——导出 ACL 权限为文本文件

getfacl 的输出结果可直接通过重定向 > 导出为文本文件，作为 ACL 权限的备份文件，适配服务器迁移、权限恢复、配置备份的场景，这是 Linux 运维的标准操作：

# 导出 test_dir 的 ACL 权限为备份文件（-p 忽略注释行，减少冗余）
getfacl -p -R test_dir > acl_backup.txt
# 查看备份文件内容
cat acl_backup.txt

备份文件特性：保留完整的 ACL 规则，格式与 setfacl --restore 的恢复格式完全兼容，可直接用于权限恢复。

场景 8：对比排查——对比两个文件的 ACL 权限差异

通过 getfacl 分别查看两个文件的 ACL 权限，配合 diff 命令对比差异，排查权限分配不一致的问题：

# 查看两个文件的 ACL 权限并导出为临时文件
getfacl -p test1.txt > acl1.txt
getfacl -p test2.txt > acl2.txt
# 对比两个临时文件的差异，排查权限不一致问题
diff acl1.txt acl2.txt

输出说明：会清晰标注出两个文件的 ACL 规则差异点，快速定位权限配置问题。

高频组合用法

getfacl 常与 setfacl（配置 ACL）、ls -l（识别 ACL 存在）、diff（对比权限差异）、chmod/chown（传统权限管理）搭配，形成 Linux精细化权限管理的完整流程，覆盖「配置 - 查看 - 验证 - 备份 - 恢复 - 排查」所有环节，是多用户服务器、开发/测试环境的标准操作组合。

组合 1：ACL 权限「配置 - 查看 - 验证」闭环

这是最基础、最常用的组合，完成 ACL 权限配置后的必做操作，确保权限按预期生效：

# 步骤 1：用 setfacl 配置 ACL 权限（递归 + 默认规则）
setfacl -R -d u:tom:rx g:dev:rwx /data/code
# 步骤 2：用 ls -l 确认 ACL 权限存在（权限列 + 号）
ls -l /data/code
# 步骤 3：用 getfacl 验证配置结果，核对所有规则
getfacl -R /data/code
# 步骤 4：测试权限（用 tom 用户访问，验证是否生效）
su - tom -c "ls /data/code && touch /data/code/test.txt"

组合 2：ACL 权限「备份 - 恢复」完整流程

通过 getfacl 导出备份、setfacl --restore 导入恢复，实现 ACL 权限的完整备份与恢复，适配服务器迁移、权限丢失场景：

# 步骤 1：备份目标目录的 ACL 权限（-R 递归，-p 忽略注释行）
getfacl -R -p /data/code > /backup/acl_code_backup.txt
# 步骤 2：模拟权限丢失（清空 ACL 权限）
setfacl -R -b /data/code
# 步骤 3：从备份文件恢复 ACL 权限（--restore 指定备份文件）
setfacl --restore=/backup/acl_code_backup.txt
# 步骤 4：验证恢复结果
getfacl -R /data/code

组合 3：传统权限+ACL 权限综合核对

配合 ls -l 查看传统 u/g/o 权限，用 getfacl 查看 ACL 精细化权限，综合核对文件/目录的所有权限配置，避免权限冲突：

# 步骤 1：查看传统 u/g/o 权限
ls -l /data/file.txt
# 步骤 2：查看 ACL 精细化权限
getfacl /data/file.txt
# 步骤 3：综合核对：确认 ACL 权限不与传统权限冲突，掩码配置合理

组合 4：批量排查目录下的 ACL 权限异常

通过 find 命令递归查找目录下所有配置了 ACL 权限的文件，配合 getfacl 批量查看，排查权限异常问题：

# 递归查找/data 目录下所有带 ACL 权限的文件（ls -l | grep +）
find /data -type f -exec sh -c 'ls -l {} | grep -q "+" && getfacl -p {}'\;

输出说明：仅显示 /data 目录下配置了 ACL 权限的文件的核心权限规则，快速定位权限异常的文件。

与 ls -l 的核心区别

getfacl 与 ls -l 均为 Linux 权限查看工具，但二者的功能定位、查看范围、适用场景完全不同，ls -l 是传统权限的「快速识别工具」，getfacl 是 ACL 权限的「完整解析工具」，二者互补，缺一不可，核心区别如下：

权限查看原则

1. 快速识别：用 ls -l 快速查看传统权限，并判断是否存在 ACL 权限（+ 号）；
2. 详细解析：若存在 ACL 权限，用 getfacl 查看完整的 ACL 规则，做进一步的配置验证与问题排查；
3. 综合核对：结合 ls -l 和 getfacl，综合判断文件/目录的所有权限配置，避免权限冲突。

关键注意事项

1. 仅能查看已配置的 ACL 权限：若目标对象无 ACL 权限，getfacl 会仅展示传统权限的 ACL 映射规则（user::、group::、other::），无自定义规则；
2. 目录默认 ACL 规则仅对目录生效：-d 选项仅对配置了默认 ACL 的目录有效，对文件或无默认 ACL 的目录执行会提示「无默认 ACL」；
3. 输出结果的权限位含义：ACL 权限的输出位为三位（如 rw-、rwx），第三位为执行权限，与传统权限的 rwx 定义完全一致；
4. 掩码（mask）的作用：mask 字段限制自定义用户/组的最大有效权限，若自定义规则的权限超出 mask，会以 mask 为准；
5. 无权限查看的情况：若当前用户无访问目标文件/目录的权限，getfacl 会提示「权限拒绝」，需切换为 root 或拥有权限的用户；
6. 备份文件的规范性：导出 ACL 备份时，建议添加 -p（忽略注释行）和 -R（递归）选项，让备份文件格式更规范，便于后续恢复；
7. 与 setfacl 的版本兼容：getfacl 的输出格式与 setfacl 的恢复格式完全兼容，不同 Linux 发行版间无格式差异，可跨服务器备份恢复。

总结

getfacl 是 Linux 中ACL 权限管理的专用查看工具，与 setfacl 并称 ACL 权限管理的「黄金搭档」，核心价值是完整解析并展示文件/目录的所有 ACL 权限配置，解决了传统 ls -l 无法查看 ACL 详情的问题，是精细化权限管理中「配置验证、问题排查、权限备份」的核心工具，核心要点可总结为：

1. 核心功能：查看传统权限的 ACL 映射、自定义用户/组 ACL 规则、目录默认 ACL 规则，支持递归、批量、导出备份，与 setfacl 无缝兼容；
2. 最常用法：直接执行 getfacl 目标 查看完整 ACL、-d 仅看默认 ACL、-R 递归查看、-p 忽略注释行用于备份；
3. 输出格式：按固定分类展示，字段明确，包含访问 ACL、默认 ACL（目录）、掩码等所有信息，可直接导出为备份文件；
4. 工具互补：与 ls -l（快速识别）、setfacl（配置）、diff（对比）搭配，形成完整的权限管理流程；
5. 实用原则：配置 ACL 后必用 getfacl 验证、重要权限必用 getfacl 备份、权限异常必用 getfacl 排查。