最直接删除Linux文件ACL权限的方法是使用setfacl -b命令，可移除所有扩展ACL条目，仅保留基本权限。例如执行setfacl -b my_document.txt后，通过getfacl和ls -l验证，确认ACL条目消失且权限末尾的+号不再显示，同时进行访问测试确保权限生效。若需删除特定条目，可用setfacl -x u:用户或g:组；递归操作需加-R，清理默认ACL需用-k选项，操作时须确保权限足够并避免误删生产数据。
在Linux中删除文件的ACL权限，最直接且常用的方法是使用
setfacl
命令，你可以选择移除所有ACL条目，或者仅仅删除特定的用户、组或mask条目。这通常是为了简化权限管理，或在权限配置变得过于复杂时进行清理。
解决方案
要彻底删除一个文件或目录上的所有ACL权限，你可以使用
setfacl -b
命令。这个
-b
选项（–remove-all）会移除所有扩展ACL条目，只保留基本的文件所有者、所属组和其他用户的权限。
示例： 假设你有一个文件
my_document.txt
，上面有一些ACL权限。
- 查看现有ACL权限：
getfacl my_document.txt
你可能会看到类似这样的输出：
# file: my_document.txt # owner: user1 # group: group1 user::rw- user:specific_user:r-- group::r-- mask::r-- other::r--
- 删除所有ACL权限：
setfacl -b my_document.txt
- 再次验证：
getfacl my_document.txt
此时，输出应该只显示基本权限：
# file: my_document.txt # owner: user1 # group: group1 user::rw- group::r-- other::r--
你会发现
user:specific_user:r--
和
mask::r--
条目都消失了。
如果你只想删除特定的ACL条目，比如某个用户的权限，可以使用
setfacl -x
命令：
示例： 继续上面的例子，如果只想删除
specific_user
的ACL权限：
- 删除特定用户ACL：
setfacl -x u:specific_user my_document.txt
- 删除特定组ACL：
setfacl -x g:specific_group my_document.txt
- 删除mask条目（这在某些情况下可能需要手动调整）：
setfacl -x m my_document.txt
对于目录，如果你想递归地删除其下所有文件和子目录的ACL权限，需要加上
-R
选项：
setfacl -b -R my_directory/
记住，对目录操作时要格外小心，因为递归操作会影响大量文件。
删除ACL权限：何时以及为何？
在我的经验里，删除ACL权限通常发生在几种场景下。有时候，一个系统经过长时间的运行，权限配置变得异常复杂，特别是当多个管理员或自动化脚本都曾修改过权限时，ACL条目可能会堆积如山，导致难以理解和维护。这时，为了“拨乱反正”，进行一次彻底的清理，将权限恢复到最基础的状态，再重新规划，就显得很有必要。
还有一种情况是，出于安全考虑。例如，某个项目结束后，我们可能需要确保不再有任何遗留的、不必要的ACL权限允许特定用户或组访问敏感数据。又或者，在进行系统迁移或数据归档时，为了确保数据一致性和简化目标环境的权限管理，也常常会选择移除旧的ACL。我个人觉得，ACL虽然强大，但也像一把双刃剑，用得好能精细控制，用得不好则会带来管理上的噩梦。当发现一个文件的权限行为“怪异”时，首先怀疑ACL的存在，并考虑是否需要清理它，这几乎成了我的本能反应。
删除ACL权限时有哪些常见的误区或注意事项？
删除ACL权限并非总是直截了当，这里面有些“坑”是需要注意的。最常见的误区就是不理解
mask
条目的作用。当你通过
setfacl -m
或
setfacl -x
添加或删除用户/组ACL时，
mask
条目会自动调整，它定义了所有用户和组ACL（除了所有者和所属组）所能拥有的最大有效权限。如果你删除了某个用户的ACL，但
mask
仍然很宽松，那么其他用户的有效权限可能依然很高。反之，如果你只是删除了
mask
，而用户ACL还在，那么这些用户ACL的有效权限可能会受到传统权限的限制，变得比你预想的要低。
另一个需要注意的是递归删除的后果。使用
setfacl -R
时，务必确认你真的想对目录下的所有内容进行操作。一个不小心，就可能把整个目录树的ACL都清空，这在生产环境中是相当危险的。我曾见过有人在测试环境不慎执行了递归删除，导致后续应用访问权限出现问题，排查起来着实费了一番功夫。
此外，默认ACL（Default ACLs）也是一个容易被忽视的点。目录可以设置默认ACL，这意味着在该目录下创建的新文件和子目录会自动继承这些ACL。如果你只是删除了现有文件的ACL，但没有清理目录的默认ACL，那么新创建的文件依然会带有你不想看到的权限。删除默认ACL需要使用
setfacl -k
或
setfacl -x d:user:group
等方式。
最后，操作权限不足也是一个常见问题。你必须是文件的所有者或者具有root权限才能修改文件的ACL。如果权限不足，
setfacl
命令会报错，这倒是个好事，至少阻止了误操作。
如何验证ACL权限是否已成功删除？
验证ACL权限是否已成功删除，是整个操作流程中不可或缺的一步，我通常会从几个方面进行确认。
首先，也是最直接的方法，就是再次使用
getfacl
命令。在删除了ACL之后，再次运行：
getfacl <file_or_directory>
如果所有用户、组以及mask的ACL条目都消失了，只剩下
user::
、
group::
和
other::
这些基本权限，那么恭喜你，ACL权限确实被清理干净了。如果只删除了特定条目，那么你应该能看到那些特定的条目不再出现。
其次，我会结合
ls -l
命令进行观察。当一个文件或目录拥有ACL权限时，
ls -l
命令的输出中，权限字符串的末尾会多一个
+
号，比如
drwxr-xr-x+
。如果成功删除了所有ACL权限，这个
+
号就应该消失，变回
drwxr-xr-x
这样的形式。这虽然不是最精确的验证方式，但它提供了一个快速的视觉指示，告诉我文件是否还带有扩展权限。
最后，也是最能验证实际效果的，就是进行访问测试。如果我删除了某个用户
specific_user
对
my_document.txt
的读写权限，那么我就会尝试以
specific_user
的身份去读取或写入
my_document.txt
。
sudo -u specific_user cat my_document.txt sudo -u specific_user echo "test" >> my_document.txt
如果这些操作被拒绝，并且权限错误信息符合预期，那么就说明ACL权限确实被有效移除了。这种实际操作的验证，比单纯看命令输出更能让我安心，毕竟权限管理最终是为了控制访问行为。