Go 文件权限 0644 在 Windows 上为什么没有同样效果

把 0644 从 Linux 搬到 Windows，最容易误解的是把它当成一份跨平台权限协议。它不是。Go 的 os.FileMode 保留了 Unix 风格的权限位，但 os.Chmod 在 Windows 上目前只看 0o200（owner writable）这一位，用它控制文件的只读属性；其他位不参与 Windows 的访问授权。

所以，Windows 上的 0644 不等于“所有者可读写、其他人只读”。它通常只表达“文件不是只读”，真正的用户、组和继承权限要看 Windows ACL。

0644 在 Go 里到底表达了什么

在 Unix 权限模型中，0644 可以拆成三组：所有者是读写（6），同组用户是只读（4），其他用户也是只读（4）。Go 文档把 FileMode 的低九位定义为标准 Unix rwxrwxrwx 权限位，因此这组数字在 Linux、macOS 上有清晰含义。

Windows 的文件对象采用安全描述符和 ACL。系统会把进程的访问令牌与文件的安全描述符进行匹配，再决定读、写、执行等请求能否通过。父目录的 ACL 还可能通过继承影响新建文件。这个模型没有 owner/group/other 三栏可以直接对应。

创建文件和 Chmod 不是一回事

os.OpenFile 或 os.WriteFile 的 mode 只在“文件不存在、需要创建”时参与创建；已存在的文件被 WriteFile 截断重写时，原有权限不会因为传入新的 mode 自动改变。即使调用了 Chmod，Windows 也只是切换只读属性，不会替你生成一套 ACL。

跨平台代码可以保留 Unix 的默认值，同时把 Windows 的需求说清楚。例如下面的函数表达的是“文件是否允许写入”，而不是“给 Windows 模拟 0644”。

package files

import (
    "os"
    "runtime"
)

// SetWritable 只处理可写/只读属性，不声称能够配置 Windows ACL。
func SetWritable(path string, writable bool) error {
    if runtime.GOOS == "windows" {
        mode := os.FileMode(0o400) // Windows 用无 0o200 表示只读
        if writable {
            mode = 0o600 // Windows 用含 0o200 表示可写
        }
        return os.Chmod(path, mode)
    }

    if writable {
        return os.Chmod(path, 0o644) // Unix 保留 owner/group/other 语义
    }
    return os.Chmod(path, 0o444) // Unix 让三类主体都只读
}

这里故意把“属性开关”和“访问授权”分开。Windows 上如果只是防止程序误改文件，调用 Chmod(path, 0400) 这样的只读映射可以满足目标；如果要求某个服务账号可写、普通用户只能读，就必须进入 ACL 配置范围。

跨平台文件策略应该怎么写

工程上建议先确定你要解决的是哪一种问题：文件创建时的默认权限、文件是否被标记为只读，还是某个用户/组能否访问。三者对应的工具不同。

• 默认权限：在 Unix 上传入 0644、0600 等 mode，并考虑 umask；在 Windows 上不要把这些数字当作 ACL。
• 只读状态：使用 os.Chmod 的 Windows 映射，牢记只有 0o200 位有意义。
• 用户和组授权：由部署脚本或 Windows 原生安全 API 配置 ACL，应用只负责处理访问失败。

例如部署时可以用 icacls 查看或调整指定目录的 DACL。下面只展示授权意图，主体名称应替换成部署环境里已经存在的用户或组。

# 查看目录及文件的当前 ACL，先确认继承关系
icacls "C:\app\data"

# 给服务组授予修改权限，并让子项继承；请按实际账号替换 AppService
icacls "C:\app\data" /grant "AppService:(OI)(CI)M"

icacls 的 M 是 Modify，(OI)(CI) 表示对象和容器继承。生产环境不要把授权范围扩大到整个磁盘，也不要把“写入权限”误当成“只能写入自己的文件”；目录继承、显式拒绝和共享层权限都可能改变最终结果。

遇到权限问题先检查哪一层

如果 Windows 上的 Go 程序写文件失败，先看错误发生在打开、写入还是修改属性阶段。打开失败通常应检查当前进程账号、父目录 ACL、共享权限和文件是否只读；而 Chmod 成功只说明属性切换成功，并不能证明目标账号拥有写入权限。

反过来，在 Linux 上看到 0644 也不要只看字符串：创建文件时还要考虑 umask，已存在文件的写入不会被新的 mode 覆盖。把“创建默认值”“运行时只读”和“主体授权”写成三个明确的测试场景，跨平台行为才不会靠猜。

相关问题

Windows 上把 0644 改成 0600，能阻止其他用户读取吗？

不能。对 os.Chmod 来说两者都含有 0o200，都表示清除只读属性；要限制其他用户，配置 ACL 或使用合适的安全描述符。

为什么文件存在时传 0600 仍然没有变化？

os.WriteFile 对已存在文件会先截断再写入，但不会用新的 mode 修改既有权限。需要改变 Unix 权限或 Windows 只读状态时，显式调用 os.Chmod，并在 Windows 上另行检查 ACL。