场景：Permission denied 权限排查四步

访问文件被拒时按序检查：目标本身权限 → 路径各级目录权限 → 进程身份 → SELinux/挂载属性，别只盯着目标文件。

场景	服务或用户访问文件报 Permission denied
目标	定位权限链条断点
工具链	namei → id/getfacl → lsattr → audit/sealert

第 1 步：目标与路径逐级检查

ls -l /srv/app/data/report.csv
namei -l /srv/app/data/report.csv    # 逐级显示每层目录权限

ps -o user,group,pid,cmd -p $(pgrep -f app.jar | head -1)
id appuser
cat /proc/$(pgrep -f app.jar | head -1)/status | grep -E '^Uid|^Gid'

getfacl -p /srv/app/data/report.csv
lsattr /srv/app/data/report.csv 2>/dev/null

getenforce
ls -Z /srv/app/data/report.csv
audit2allow -w -a 2>/dev/null | tail    # 或看 /var/log/audit/audit.log 中 denials

目录权限是常见盲区：文件 644 但中间目录少了 x，同样进不去；namei -l 一屏定位。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌