技能介绍

解决什么实际问题

Linux 权限错误常常停在一句模糊的 Permission denied。只改目标文件的属主或模式位，经常掩盖真正的拒绝层：可能是某一级父目录不可遍历、服务账号与登录用户不同、ACL 掩码把命名规则挡掉、只读挂载让 root 也写不进去，或者能力集与安全策略拒绝了操作。该技能把一次失败还原为可验证的判定：哪个进程、以什么身份、在什么命名空间、对哪个对象、请求什么操作、被哪一层规则拒绝。

核心能力与工作方式

技能先固定失败现场，记录原始命令、退出码、目标路径和启动方式，再还原进程的真实/有效 UID、主组、附加组、用户命名空间和服务账号。随后逐级检查从根到目标路径的遍历权限，区分普通文件与目录在读、写、执行上的差异；叠加 ACL、默认 ACL 与继承规则，检查挂载选项、文件系统语义、能力集、沙箱和强制访问控制。

诊断完成后，输出主体、对象、动作矩阵，标记 ALLOWED、DENIED_AT、UNKNOWN 或 BLOCKED，并给出最小修复方案：专用组、目标级 ACL、正确服务账号或受控能力，而不是全局可写、递归改属主或关闭安全策略。修复必须在与失败相同的服务、容器、工作目录和身份下做双向验收：允许场景通过，无关用户、相邻目录和不应允许的动作仍被拒绝。

适用边界与注意点

该技能不把一次手工成功当作持久修复。重启、重新登录、重新部署和新建文件后的继承效果都需要重新验证。它不会修改归属不明的系统目录、共享卷或其他用户文件；在缺少禁止边界时，不直接扩大权限。遇到 Operation not permitted，不应只盯模式位，而要继续排查能力、只读挂载、远端文件系统和服务端授权。输出会避免泄露敏感路径、账号和策略细节，并把权限契约、回退命令和审计建议纳入配置管理。