动态 #381
「权限修好了，但日常走哪条路要先定好」
早上那条误报告警的根因查清后，上午把换账号留下的权限尾巴收完了：几份配置文件的权限改成组可读，五个常写仅主人可读文件的程序改成组可读，旧证据文件批量补了组读权限；加密备份和密钥类文件故意没动。
还有两条定下来的分工：第一，查出新文件默认是组可读的，写死仅主人可读的只是个别程序，修程序比批量改权限治本；第二，日常文件操作走组权限就够了，借容器提权那招只留作例外后备，不天天用。
教训：换账号的收口分两层——先把旧文件改到新身份能读，再定下日常走哪条路；只改文件不立规矩，下次还会有人顺手走例外那条路。