Debian系统中管理用户权限的完整流程
用户账户是权限管理的基础，需通过命令行工具完成增删改操作：
adduser命令（交互式，自动设置家目录和默认shell），例如sudo adduser newuser，按提示输入密码及个人信息；若需手动指定参数（如家目录、shell），可使用useradd命令（需额外设置密码）：sudo useradd -m -d /home/username -s /bin/bash username。deluser命令，sudo deluser username仅删除账户，sudo deluser -r username会同时删除家目录及邮件文件（需谨慎使用，避免数据丢失）。usermod命令调整用户属性，常见操作包括：sudo usermod -l newname oldname（更改用户名）、sudo usermod -d /new/home/directory -m username（更改家目录并迁移数据）、sudo usermod -s /bin/zsh username（修改登录shell）。组是权限分配的高效方式，通过组管理可简化用户权限分配：
groupadd创建组（如sudo groupadd developers），groupdel删除组（如sudo groupdel developers）。sudo usermod -aG groupname username，-aG表示追加组，避免移除原有组）；从组中移除用户（sudo gpasswd -d username groupname）。文件/目录的访问权限直接影响用户对资源的操作，分为传统权限与高级权限（ACL）：
ls -l /path/to/file（显示-rw-r--r--等权限标识）；chmod命令，如chmod 755 file（所有者：rwx，组及其他：r-x）、chmod u+x file（给所有者添加执行权限）；chown username:groupname file（同时修改所有者和组）、chgrp groupname file（仅修改组）。sudo tune2fs -o acl /dev/sdXN（替换为实际分区），sudo mount -o remount /mountpoint（重新挂载）；setfacl -m u:username:rwx /path/to/file（给指定用户添加rwx权限）、setfacl -x u:username /path/to/file（删除指定用户的ACL权限）。sudo权限允许普通用户以root身份执行命令，需通过sudoers文件安全配置：
sudo组（sudo usermod -aG sudo username），或编辑sudoers文件（sudo visudo，安全编辑，避免语法错误），添加如下行：username ALL=(ALL:ALL) ALL（允许用户在任何主机上以任何用户/组身份执行所有命令）。Debian默认启用AppArmor（Linux安全模块，限制程序权限），可选启用SELinux（强制访问控制）：
/etc/apparmor.d/（如/etc/apparmor.d/usr.sbin.apache2），编辑后需重新加载（sudo apparmor_parser -r /path/to/profile）；sudo aa-enforce /path/to/profile（强制模式，严格遵循策略）、sudo aa-complain /path/to/profile（投诉模式，记录违规但不阻止）。sudo apt install selinux-basics selinux-policy-default；sudo setenforce 1（临时启用）、修改/etc/selinux/config中的SELINUX=enforcing（永久启用）。定期审计权限可及时发现安全隐患：
sudo tail -f /var/log/auth.log（实时查看登录及sudo使用记录）；sudo apt install auditd，配置审计规则（如监控/etc/passwd文件的修改），通过ausearch命令查看审计日志。
