文件权限0666仍无法以root打开？flock锁文件跨用户访问问题

一、问题原因 #

1. 普通用户创建的锁文件，root进程无法open的核心原因 #

你遇到的errno:13 Permission denied看似矛盾（root本应能访问任何文件），但大概率是以下两种情况：

• 程序open调用的参数逻辑错误：
  如果你的程序中open锁文件时使用了O_CREAT | O_EXCL组合标志，当文件已存在时open会直接失败，但错误码应为EEXIST而非EACCES。若程序同时在open时指定了仅允许当前用户访问的权限位，且root运行时错误处理了文件已存在的分支，可能触发权限错误。
• 系统安全机制限制：
  若系统开启了SELinux或AppArmor，sudo运行的程序可能被安全策略限制，无法访问普通用户在/tmp下创建的文件。这种情况下root的权限被安全框架拦截，导致open返回EACCES。

2. 为何root创建的锁文件，普通用户能正常访问 #

root创建文件时，即使程序指定权限为0666，默认umask（通常为0022）会将权限修正为0644，但你测试中普通用户能访问，说明程序要么显式设置了umask(0)，要么创建文件时指定了0666的权限位，让普通用户拥有读写权限，自然能正常打开。

二、创建普通用户与root都可访问的锁文件的方法 #

要让两类进程都能正常使用同一个锁文件，需从文件权限、创建逻辑两方面入手：

1. 确保文件权限与创建逻辑正确 #

在C代码中，创建锁文件时需注意：

• 显式设置umask为0，避免默认umask削弱文件权限：

  umask(0); // 重置umask，确保指定的权限位生效
  int fd = open("/tmp/test.lock", O_RDWR | O_CREAT, 0666);
  

• 不要使用O_EXCL标志（除非明确要避免文件已存在的情况），先打开文件再通过flock获取锁：

  // 先打开文件（不存在则创建）
  int fd = open("/tmp/test.lock", O_RDWR | O_CREAT, 0666);
  if (fd == -1) {
      perror("open failed");
      exit(EXIT_FAILURE);
  }
  // 再获取flock锁
  if (flock(fd, LOCK_EX | LOCK_NB) == -1) {
      perror("flock failed");
      close(fd);
      exit(EXIT_FAILURE);
  }
  

2. 规避系统安全机制限制 #

• 若SELinux导致问题，可临时关闭测试（sudo setenforce 0），或添加自定义策略允许程序访问/tmp下的文件；
• 若使用AppArmor，需修改对应程序的配置文件，放宽对/tmp/test.lock的访问限制。

3. 可选：使用固定组权限 #

如果普通用户和root进程属于同一个用户组，可将锁文件的组权限设置为可读可写，确保组内所有用户都能访问：

umask(0);
int fd = open("/tmp/test.lock", O_RDWR | O_CREAT, 0660);
// 额外设置文件组为目标组（比如users组）
struct group *g = getgrnam("users");
if (g != NULL) {
    chown(fd, -1, g->gr_gid);
}

内容的提问来源于stack exchange，提问作者robert