RHCSA备考到了第三轮，我发现最让我心里没底的居然不是SELinux和LVM这些看起来“高级”的内容，反而是文件管理和用户管理这两个大家普遍觉得简单的板块。文件管理里那些边角料，比如软硬链接、时间戳、umask、tar的排除规则，用户管理里那些配置文件字段、口令老化策略、sudo的坑，每一样都可能在考场上变成拦路虎。这篇复习笔记，我就把文件管理补充和用户管理这两块里最容易被忽略、又最容易被考到的细节重新捋一遍，结合我自己备考和帮别人排查问题的经验，把命令背后的逻辑和踩过的坑一起写出来，希望能给同样在备考RHCSA的朋友一些参考。
1. 文件搜索的几条命令差异：find、locate与which/grep的组合套路
很多人在文件搜索上只记住了find，但RHCSA考试不会只考单条命令。它更希望你明白不同搜索工具的使用边界：什么时候用find找文件，什么时候用grep找内容，什么时候用locate靠数据库快速定位。这几条命令看起来都是“找”，实际背后的逻辑完全不同。
1.1 find：备考中最该吃透的表达式语法
find的核心不是“找”，而是“遍历”，它会从一个指定路径出发，把下面所有目录和文件都过一遍，然后对每个结果套用你给的条件。基本语法是find 路径 表达式，路径不写默认是当前目录，表达式里最常见的几个条件：
-name "*.conf"：按文件名匹配，注意-name区分大小写，不区分大小写用-iname。-type f和-type d：分别只找普通文件和目录，这个在考试里特别常用。-user alice -group hr：按属主和属组过滤，经常和-o（或）、-a（且）组合。-size +100M、-size -1k：按文件大小过滤，+表示大于，-表示小于，这个符号和-mtime的用法是同一套逻辑。-mtime -7：7天之内被修改过的文件，+7是超过7天，7是刚好第7天。很多人在这里被绕晕，我的记法是“+ 表示更早，- 表示更新”。
find里真正阴险的坑在-exec。你要对搜索结果执行命令时，标准写法是：
find /etc -name "*.conf" -exec grep -l "root" {} \;注意结尾的\;，这个分号是必须的，少了会直接报错。{}是find把每一个匹配到的文件名传给后面命令的占位符。如果把结尾换成\+，意思是把匹配到的所有文件一次性打包传给命令，效率更高，但有些命令不认这种多个参数的调用方式（比如cp），所以考试时我建议优先用\;，虽然慢一点，但不容易出错。
另外，find是有“短路”逻辑的。多个条件之间不写运算符默认是-a（逻辑与），比如find / -type f -name "*.log"必须两个条件同时成立。想表达“要么是这个，要么是那个”，不要忘了加-o，而且-o前后最好加上()括号来分组，例如：
find /data \( -name "*.tmp" -o -name "*.bak" \) -type f括号在shell里有特殊含义，所以必须用\(和\)转义。我见过不少人把\(写丢，结果命令逻辑完全变了，还找不到原因。
1.2 locate、updatedb与命令路径查找：适合什么场景
locate和find最大的区别是它不遍历磁盘，而是查询一个预先建好的数据库，所以速度极快。但这是它最大的优点，也是最大的坑：数据库不是实时更新的。如果你刚创建了一个文件，马上用locate找，大概率查不到，除非你先跑一次updatedb更新数据库。
考试时如果遇到locate: command not found，先别慌。RHEL系默认可能只装了基础的findutils，locate包含在mlocate或plocate包里，需要手动安装。装完之后第一件事就是updatedb，否则数据库是空的或者旧的，一找一个准全是坑。
which、whereis、type又是另一类，它们定位的是可执行命令本身，而不是任意文件。which ls输出/usr/bin/ls，type还能告诉你命令是内建命令还是外部命令，比如type cd会显示cd is a shell builtin。这类命令在RHCSA里不会单独出大分题，但排查环境问题时非常好用，尤其是判断一个命令到底来自哪个路径时。
1.3 find + xargs + grep 的组合实战
真正能体现综合能力的组合是：用find定位一批文件，再交给grep去查文件内容，中间用xargs连接。典型场景：你想知道/etc下面所有.conf文件里，哪些文件包含PermitRootLogin这个配置。一条命令就搞定：
find /etc -name "*.conf" -type f | xargs grep -l "PermitRootLogin"这里面有个非常经典的坑：如果文件名里带空格，xargs默认按空格把输入拆分成多个参数，文件名就直接被劈成两半了，命令在奇怪的角度报错。解决办法是让find输出用空字符分隔，xargs也按空字符读取：
find /etc -name "*.conf" -type f -print0 | xargs -0 grep -l "PermitRootLogin"我平时写脚本处理批量文件时基本都会加上-print0和-0，因为真实环境里文件名会多离谱都说不准。考试里虽然大概率遇不到带空格的文件名，但理解这个机制会让你在安全加固、批量清理日志时少掉很多头发。
2. 链接、时间戳与权限位：文件管理里最容易翻车的三类细节
这一节的内容几乎全是RHCSA的送分题，也是失分题。原因很简单：概念都“听说过”，但一落到命令行为上就含糊了。
2.1 硬链接与软链接：inode视角下的本质区别
硬链接的本质是给同一个inode添加一个目录项。用ln /data/file /data/hardlink创建硬链接后，两个文件名指向同一个inode，所以ls -l第二列的链接数会变成2。对其中一个文件内容的修改，另一个也会同步变，因为改的就是同一个数据块。
软链接（符号链接）就不一样了，它本身是一个独立的小文件，里面存的是目标文件的路径。用ln -s /data/file /data/softlink创建后，ls -l会显示softlink -> file。
删掉源文件是区分两者最直观的测试：硬链接的那个名字依然能正常打开文件，因为inode还在，只是少了一个目录项；软链接则直接变成红色闪断状态，提示 No such file or directory。理解了这一点，RHCSA常考的两个判断题就有了解法：
- 硬链接能不能跨文件系统？不能，因为inode不跨文件系统。
- 硬链接能不能指向目录？能，但是只有root创建才被允许，而且是为了维护文件系统内部结构，不是给普通用户用的。普通用户对目录创建硬链接会被拒绝，这是防止目录循环引用的保护机制。
实际运维里，软链接用得远比硬链接多，比如把Tomcat的logs目录软链到数据盘，把某个动态库软链到lib目录下。硬链接最常见的用途是备份场景里的“基于链接的增量备份”思路，因为多个硬链接共享数据块，不额外占用空间。
2.2 mtime、ctime、atime与touch：时间戳的判定逻辑
stat命令能列出文件的三种时间戳，RHCSA喜欢在判断题里玩文字游戏：
mtime（modification time）：文件内容最后一次被修改的时间。用vim改了内容，mtime变。ctime（change time）：文件的inode元数据最后一次被改变的时间。注意，改内容也会导致inode里的mtime字段更新，所以ctime也会跟着变；而如果只是改权限、改属主、创建硬链接，只有ctime变，mtime不变。atime（access time）：文件内容最后一次被访问的时间。用cat读一下，atime变。
一句话记法：mtime关心的是“内容改了没”，ctime关心的是“文件状态信息改了没”，atime关心的是“被读过没”。
touch专门用来改时间戳。touch file会创建一个空文件，如果文件已存在则只更新atime和mtime。touch -t 202501011200 file可以手动指定时间，touch -m只改mtime，touch -a只改atime，touch -r ref.file target.file把target的时间改成跟参考文件一致。
说个实际场景。我帮同事排查过一个问题，他打包发布的时候发现文件时间比当前时间晚了8小时，排查半天发现是打包机上执行touch脚本时时区没设置对。虽然不影响功能，但发布记录里时间线全乱了。所以在考场上如果要验证cp -p是否会保留时间戳，直接用stat对比源文件和目标文件的三个时间，比凭记忆答题靠谱得多。
2.3 umask与特殊权限：新建文件的默认权限没那么好算
umask决定新建文件和目录时“减去”哪些权限。很多人以为666 - 022 = 644就是结果，但遇到umask里带奇数的情况就算错了。比如umask 033，按减法算：666 - 033 = 633，但真实结果是644。
原因是新文件默认是没有执行权限的，最终权限是在“666 去掉执行位”这个基础上，再用umask进行按位清除。准确的计算公式是：
- 新文件最终权限 =
0666 & ~umask - 新目录最终权限 =
0777 & ~umask
所以umask 033时，文件的最终权限是0666 & ~0033，也就是二进制110110110 & 111100100，结果是110100100，正好是644。考试时用umask 027这种带奇数的例子去推一次，就明白为什么“减法口诀”不能乱用了。
特殊权限也是RHCSA常客：
setuid（数字4）：在可执行文件上设置后，普通用户运行它时，进程的有效UID会变成文件属主。典型例子是/usr/bin/passwd，普通用户能通过它改自己的密码，靠的就是setuid位。setgid（数字2）：对文件来说类似setuid，但对目录来说意义更大：目录设置了setgid后，在里面新建的文件或目录会继承该目录的属组，而不是创建者的主组。sticky（数字1）：主要用在/tmp这类共享目录上。设置sticky后，目录里的文件只有属主或root才能删除，其他用户即使对目录有写权限也删不掉别人的文件。
命令形式是chmod 1777 /tmp、chmod 2755 /project、chmod 4755 /usr/bin/tool。备考时可以用find / -type f -perm -4000 -ls去找系统里所有含setuid位的文件，这同时也是一个安全加固的排查思路。
3. tar打包与压缩：RHCSA实机考试一定会考的组合技
文件管理这个大板块里，tar的权重我觉得是最被低估的。考试机的环境里经常需要你把某个目录打包传来传去，如果没有把tar的各种参数练熟，考场上越是紧张越容易把解压命令写反。
3.1 tar基本用法：考试要背牢的选项组合
创建包的核心组合是tar czvf 包名.tar.gz 待打包目录。拆开来看：
c表示创建归档z表示用gzip压缩v表示显示过程，考场上建议保留，方便看有没有打进去f后面紧跟归档文件名
解压时把c换成x：tar xzvf 包名.tar.gz。查看包内容不并解压用t：tar tzvf 包名.tar.gz。
这里有个大多数人都能背下来的原则：-f必须放在选项组最后，因为它后面要跟文件名。如果你写成tar cvfz file.tar.gz /data，tar会以为z是文件名，直接报错或者生成一个奇怪名字的文件。
解压到指定目录，用-C：
tar xzvf file.tar.gz -C /opt/target这是最容易拿分也最容易丢的一个点，因为有些人只记住了tar解压，忘了在考试场景里目标目录可能并不是当前目录。
还有个隐蔽细节：用tar打包时如果不希望包内路径带一堆绝对路径前缀，可以用-P保留绝对路径，但安全和规范上都不建议。更好的做法是先进到目标目录上一级，再打包相对路径，比如cd /var && tar czf www.tar.gz www，这样解压出来就得到一个www目录，而不是从根开始的一大串路径。
3.2 压缩工具选型与解压的常见翻车现场
RHCSA考试中，压缩包最常见的是.tar.gz，但也可能遇到.tar.bz2和.tar.xz。它们的解压参数分别是：
- tar czf / tar xzf：gzip
- tar cjf / tar xjf：bzip2
- tar cJf / tar xJf：xz
字母不一样，很容易混。我的记忆锚点是：gzip 以z打头，bzip2 以j打头，xz 以大写J打头。
解压时最常见的报错是gzip: stdin: not in gzip format。出现这个错，不要急着怀疑压缩包损坏，先用file命令看一下真实格式：
file backup.tar.gz有时你拿到的文件名后缀是.tar.gz，但实际内容可能是纯tar打包没压缩，甚至是个zip文件。file命令会直接告诉你它到底是个gzip压缩数据还是POSIX tar归档，省去瞎猜的时间。
另外，单独的压缩工具也要会用。gzip file会压缩文件并把原文件变成file.gz，解压用gunzip file.gz。如果不想动原文件、只想在管道里压缩，用gzip -c配合重定向。同理bzip2、xz也都有这个逻辑。考试中如果让你“把某个日志压缩成.gz结尾的文件”，可能并不需要用tar，直接gzip logfile就完事。
3.3 tar的进阶玩法：管道、排除规则与增量备份
tar处理大量小文件时效率很高，但有些时候你需要筛选后再打包。两种常见做法：
第一种是配合find和管道：
find /var/log -name "*.log" -mtime +30 -print0 | tar --null -T - -czf old_logs.tar.gz这个命令把find找出的30天前的日志文件列表通过管道交给tar，-T -表示从标准输入读取文件列表，--null配合-print0解决文件名空格问题。
第二种是直接在tar里排除部分内容：
tar czvf backup.tar.gz /data --exclude="*.mp4" --exclude="/data/cache"--exclude的位置没有强制要求，但在复杂场景中建议放在打包目标前面，避免因为路径匹配问题导致排除失效。我踩过的坑是排除目录时写了结尾斜杠，某些tar版本会匹配不上，建议写成不带斜杠的目录名，匹配更稳。
增量备份的场景可以提一下：tar的-g snapshot.file参数会记录备份时的状态，下次再用同一个snapshot文件备份时，只把新增和修改过的文件打进去。这个在RHCSA考试里不是重点，但如果你工作中偶尔要做简单的文件级增量备份，tar比 rsync 更容易上手，前提是数据量不大。
4. 用户管理的三个配置文件与一个骨架目录：读懂了就不会瞎改
用户管理这一章，命令就那么几条，但考试特别喜欢从配置文件字段的角度出题。因为你只有读懂了字段，才知道一条useradd命令执行后系统里到底发生了什么。
4.1 /etc/passwd与/etc/shadow：字段逐行拆解
/etc/passwd里每一行是一个用户，字段用冒号分隔，一共7个：
tom:x:1001:1001:Tom Smith:/home/tom:/bin/bash依次是用户名、密码占位符（x表示真正的密码在shadow里）、UID、主组GID、注释信息、家目录、登录shell。这里有个细节：注释信息如果是纯文本，里面不要乱加冒号，否则字段解析会错位。
为什么密码不是直接存在passwd里？因为这个文件是所有用户都可读的，一旦里面存的是真实哈希，任何人都能离线暴力破解。shadow文件只有root能读，哈希就藏在里面。shadow每行9个字段，核心是前几个：
- 用户名
- 加密后的密码（以
$6$开头表示SHA-512，$y$表示yescrypt） - 最后一次修改密码的时间（从1970-01-01算起的天数）
- 最小修改间隔天数
- 密码最长有效期
- 过期前多少天提醒
- 过期后多少天禁用账户
- 账户失效日期
- 保留字段
你说这个字段顺序不重要吗？RHCSA不一定直接让你数字段，但chage命令改的就是7到9这几个值，你不懂字段含义，chage -E 2025-12-31设置了失效日期后，很难理解它为什么只对登录生效、不影响已登录会话。
修改用户数据库文件，安全正确的做法不是直接vim /etc/passwd，而是用vipw和vigr。这两个命令本质是对passwd和group文件加锁并调用编辑器，避免多人同时修改导致文件损坏，这也是RHCSA在安全细节点上会留意的地方。
4.2 /etc/group与/etc/gshadow：初始组和附加组的关系
/etc/group每行4个字段：组名、组密码占位符、GID、附加组成员列表（逗号分隔）。初始组成员（主组）不写在这里，因为一个用户的主组直接记录在passwd的第四个字段里。所以看一个用户属于哪些组，需要同时看passwd里的GID和group最后一列。
/etc/gshadow是组密码的shadow文件，字段为：组名、加密组密码、组管理员列表、成员列表。平时组密码基本用不到，但考试可能考gpasswd -A给组设置管理员。
新用户默认会创建一个与用户名同名的“私有用户组”，这是RHEL系的默认策略。好处是每个用户都有一个单独的小组，做权限隔离比较方便。如果不想创建同名组，可以用useradd -N，或者改/etc/login.defs里的USERGROUPS_ENAB no。这个选项在RHCSA不一定直接考，但理解它能帮你解释为什么有些用户id出来的组跟用户名不一样。
查看一个用户实际生效的UID、GID和附加组，一条命令：
id alice输出大概是uid=1002(alice) gid=1002(alice) groups=1002(alice),10(wheel)。其中gid是主组，groups里除了主组之外的都是附加组。遇到权限问题时，第一反应就是先id看当前用户到底在哪些组，这个习惯比背一堆权限参数有用得多。
4.3 /etc/skel与用户默认值：新用户的家目录为什么长这样
每次用useradd创建用户时，系统会把/etc/skel目录里的所有文件复制到新家目录里。RHEL默认的skel目录包含.bash_profile、.bashrc、.bash_logout几个隐藏文件，新用户登录后就有基本的环境变量和别名设置。
如果你想给每个新用户预制一批文件，直接把文件丢进/etc/skel即可。比如公司要求每个账户家目录下放一个README.txt，写清楚服务器用途和联系人，放进/etc/skel/README.txt之后，之后创建的用户家目录里都会自动带上。
另一个控制默认值的地方是/etc/default/useradd，里面定义了家目录根路径（HOME=/home）、默认shell（SHELL=/bin/bash）、是否创建邮件池（CREATE_MAIL_SPOOL=yes）等。而/etc/login.defs则控制UID范围（UID_MIN/UID_MAX）、密码策略默认值（PASS_MAX_DAYS等）、umask的默认值。
考试中如果遇到“新用户无法登录，提示密码已过期”之类的问题，多半就要去/etc/shadow和/etc/login.defs里找原因。比如PASS_MAX_DAYS 99999表示密码永不过期，但如果被改小了，新用户密码也会在设定天数后过期。这些默认值和命令行为之间是联动的，只看命令不看配置，很容易漏掉隐藏条件。
5. useradd/usermod/userdel实战：从创建用户到sudo提权的完整链路
配置文件读懂了，命令就可以当成“简化版的配置修改工具”来理解。RHCSA创建用户的题目很直接，但是细节要求很高，少一个-G或多一个空格都可能扣分。
5.1 useradd参数实测：创建用户时到底会发生什么
最基本的创建命令：
useradd alice执行完之后，系统会做几件事：在passwd和shadow里各加一行，分配下一个可用UID，创建/home/alice家目录并复制skel文件，创建一个同名的 alice 组，把 alice 加进去。
但考试经常加限定条件，比如：
- 创建用户
tom，指定UID为1800：useradd -u 1800 tom - 指定主组为
hr：useradd -g hr tom，注意这里-g后面是组名或GID都可以 - 指定附加组为
wheel：useradd -G wheel tom，多个组用逗号分隔，不要加空格 - 指定家目录为
/data/tom：useradd -d /data/tom -m tom，-m表示如果目录不存在则创建 - 指定shell为
/sbin/nologin：useradd -s /sbin/nologin tom，这台机器上的账户不允许交互登录 - 指定注释为
Tom Smith：useradd -c "Tom Smith" tom，注意注释里有空格时要加引号
还有一个容易被忽略的-r参数，创建系统账户。系统账户的UID会落在系统范围内（RHEL 8/9默认1-999），而且默认不创建家目录，适合用来跑服务。如果你用useradd -r -m，也可以强制给它建家目录，但在RHCSA题目里很少这么用。
创建完用户之后一定不要急着完事，要验证。常用验证手段：
id tom getent passwd tom ls -ld /home/tomgetent的好处是会同时查文件数据库和NSS配置的来源，如果系统和LDAP等做过集成，getent能看到的东西比直接看/etc/passwd更准确，这也是RHCSA课程里反复强调的一个命令。
5.2 usermod与passwd：改属性、锁账户与口令策略
用户创建后要改属性，用usermod。最常见的几个操作：
- 改附加组：
usermod -aG wheel tom。这个-a我用高亮强调一下，因为不加-a是直接覆盖用户的附加组列表！也就是说usermod -G wheel tom会把tom原有的附加组全部清掉，只留下wheel。很多人把用户加到组里时漏了-a，结果用户被从其他组里踢出去了。 - 改主组：
usermod -g hr tom。 - 改家目录并迁移数据：
usermod -m -d /data/tom tom，-m会尝试把原家目录的内容搬到新家目录。 - 改shell：
usermod -s /bin/bash tom。 - 锁账户和解锁：
usermod -L tom/usermod -U tom，等效于passwd -l tom/passwd -u tom。锁账户的原理是在shadow密码字段前面加个!，这样哈希就失效了。
密码策略也是RHCSA常考的一个点。强制用户首次登录改密码，用chage -d 0 username或者passwd -e username，作用是把shadow里最后一次修改密码的时间设为0，用户登录时会立刻提示必须修改密码。还有chage -M 30 username设置密码最长有效期30天，chage -W 7 username提前7天提醒。这些参数在/etc/shadow里对应的就是那几个数字字段。
要注意一点：passwd --stdin在RHEL里可以这样写echo "123456" | passwd --stdin tom，但它只是方便脚本化，不是所有发行版都支持。备考还是按标准交互式passwd tom来，更稳妥。
5.3 组管理、用户删除遗留与sudo配置
组管理的命令和用户管理的逻辑几乎一一对应：groupadd、groupmod -n 新名 旧名、groupdel。给组添加成员用gpasswd -a tom hr，追加多个可以用usermod -aG hr1,hr2 tom，前面说过-a不能漏。
删除用户时最大的坑是“删不干净”。userdel alice只删除passwd、shadow、group里的记录，但家目录和邮件池文件可能还留在磁盘上。想一并清理干净，用：
userdel -r alice这个-r会递归删除用户家目录和邮件池文件。如果你不删，后面再创建同名的alice用户，新用户的家目录可能带着旧权限甚至旧数据，很容易闹出安全问题。
最后是sudo配置。RHCSA特别喜欢考“创建一个用户，把它加入wheel组，然后验证sudo权限”。默认配置下，RHEL的/etc/sudoers里有一行%wheel ALL=(ALL) ALL，只是被注释掉了。考试机器上需要管理员用visudo把这行取消注释，或者你也可以直接在/etc/sudoers.d目录下建一个新文件，比如/etc/sudoers.d/99-custom，在里面写：
alice ALL=(ALL) ALL注意/etc/sudoers.d下的文件必须用visudo -f这种格式检查，或者至少确保权限是440。如果sudo配置文件语法写错，会导致所有sudo命令直接报错，这时候不要慌，一般可以通过pkexec或者其他已登录的root shell 去修，但最稳妥的办法还是写完后先执行visudo -c验证语法，确认输出parsed OK再退出。
验证sudo权限是否生效，最直接的方法是sudo -l -U alice查看该用户能够执行的sudo条目，然后切换到该用户su - alice，执行sudo whoami，输出root才算通过。
考RHCSA的用户管理题，我建议你把每一个操作都在终端里打出完整命令，然后用id、getent、ls去反向验证。命令背后的配置变化搞清楚了，考试时不管题目怎么变，思路都是稳的。
文件管理和用户管理这两个板块看起来基础，实际是RHCSA里很实用的拉分项。文件搜索、链接权限、打包解压、用户配置、sudo提权，每一条都是日常Linux工作的高频操作。我复习到后面最大的感受是：别只看不练，很多命令的坑只有亲手敲过一遍才记得住。把每道题都当成考试题做完，再用man对照参数含义，比刷十遍题都管用。
