Go Unix socket 连接失败怎样检查文件权限

Go Unix socket 连接失败时，先保留底层错误，再检查客户端实际身份、完整路径上的目录搜索权限，以及 socket 文件本身的访问权限。Linux 路径型 Unix stream socket 的连接要求 socket 上有写权限；只把最后一个文件改为可读并不能解决问题。路径不存在、权限拒绝、没有监听者是不同故障，不能都用 chmod 处理。

Go net 官方文档：https://pkg.go.dev/net

本文限定 Linux、文件系统路径型、流式 Unix socket，例如 /run/report-agent/control.sock。Linux 抽象地址没有普通文件权限语义，其他 Unix 系统对 socket 权限的处理也可能不同，不能直接套用本文结论。Linux 说明：https://man7.org/linux/man-pages/man7/unix.7.html。

先分清路径不存在、权限拒绝和连接拒绝

设想一个报表代理使用专用账号启动，交互终端连接成功，而另一个服务的 Go 客户端连接失败。先别比较“两个程序都在同一机器”，要比较它们的 UID、组成员和路径视图。终端成功只是那个身份和环境成功，不证明服务身份也有权限。

package client

import (
    "errors"
    "fmt"
    "net"
    "syscall"
    "time"
)

func Probe(path string) error {
    // 限定连接等待，避免诊断请求无限挂起；不发送业务命令。
    conn, err := net.DialTimeout("unix", path, 2*time.Second)
    if err != nil {
        switch {
        case errors.Is(err, syscall.EACCES),
             errors.Is(err, syscall.EPERM):
            return fmt.Errorf("访问被拒绝，检查身份、目录和策略: %w", err)
        case errors.Is(err, syscall.ENOENT):
            return fmt.Errorf("路径组件不存在或视图不同: %w", err)
        case errors.Is(err, syscall.ECONNREFUSED):
            return fmt.Errorf("连接被拒绝，检查监听者和残留路径: %w", err)
        default:
            return fmt.Errorf("Unix socket 连接失败: %w", err)
        }
    }
    // 连接成功后立即关闭；只证明建立连接，不证明业务协议可用。
    return conn.Close()
}

这是供 Linux 客户端诊断使用的函数，不是自动修复程序。errors.Is 可沿包装错误检查底层类别，%w 保留原始信息。访问拒绝可能来自普通权限，也可能来自安全策略，错误分类只给出排查方向，不是最终证明。

沿完整路径核对目录和进程身份

路径解析需要穿过所有父目录。目录的 x 是搜索或遍历权限，r 是列出目录条目的权限；客户端不需要为了连接就获得父目录写权限。服务创建 socket 则需要所在目录的写与搜索权限，连接者和创建者的要求不同。

身份分组包括客户端 UID、客户端组；路径分组包括 /run、report-agent 目录、control.sock；权限判断分组包括目录搜索权限。客户端 UID 与组决定权限类别，/run 与 report-agent 目录都受搜索权限约束，control.sock 位于该目录之下。先确认每个目录是否可穿过，再看最后的 socket。

# Linux：逐级显示路径元数据，避免只检查最后一个对象。
namei -l /run/report-agent/control.sock
ls -ld /run /run/report-agent
ls -l /run/report-agent/control.sock
# 1234 是示例客户端 PID，替换成授权检查的真实进程。
ps -o pid,euid,egid,comm -p 1234
# 查看进程实际身份与补充组，不能只用当前终端的 id 推断。
awk '/^(Uid|Gid|Groups):/ {print}' /proc/1234/status

把这些元数据按客户端实际身份对照，检查 owner/group/other 哪一类适用，另考虑 ACL。补充组配置改变后，已经运行的进程不一定自动获得新组，应按服务管理流程重启相应客户端。路径解析及身份规则见 https://man7.org/linux/man-pages/man7/path_resolution.7.html。

检查 socket 对象而不是普通文件

ls 的类型标记应对应 socket，而不是同名普通文件。文件存在不等于仍有进程监听；崩溃留下路径、服务尚未创建对象、配置指向另一个目录，都可能表现为连接失败。可以在授权 Linux 环境中查看监听信息：

# 只读查看 Unix 监听对象；进程信息可能受当前读取权限限制。
ss -xlpn
# 读取扩展访问控制信息，系统未安装 getfacl 时改用发行版工具。
getfacl /run/report-agent /run/report-agent/control.sock

容器、chroot 或不同挂载命名空间中，“同一绝对路径字符串”可能指向不同对象，客户端还可能看不到服务所在的挂载。应在实际客户端的受控运行环境里检查，而不是只从宿主机目录推断。若普通权限与 ACL 均允许，但仍被拒绝，应查看已启用的 SELinux、AppArmor 等策略记录，修正明确规则；不要关闭整套安全控制作为通用方案。

在服务创建时固定最小访问范围

同一 UID 下的服务与客户端，可以使用私有父目录和 0600 socket。父目录应由部署或服务管理配置提前创建，归服务账号所有，且不可被不可信账号写入。下面只创建监听器并设置权限，不替你删除残留路径。

package server

import (
    "fmt"
    "net"
    "os"
)

func NewPrivateListener(path string) (*net.UnixListener, error) {
    // 前提：父目录已正确设置为服务账号所有的私有目录。
    addr := &net.UnixAddr{Name: path, Net: "unix"}
    listener, err := net.ListenUnix("unix", addr)
    if err != nil {
        return nil, fmt.Errorf("创建 Unix 监听器失败: %w", err)
    }
    // 同 UID 访问模型：只允许所有者读写，不扩大到其他用户。
    if err := os.Chmod(path, 0600); err != nil {
        listener.Close() // 失败则结束监听，不能带错误权限继续服务。
        return nil, fmt.Errorf("设置 socket 权限失败: %w", err)
    }
    return listener, nil // 调用方负责 Accept 和最终 Close。
}

创建分组包括私有父目录、net.ListenUnix、os.Chmod；访问分组包括 0600 socket、同 UID 客户端。私有父目录容纳监听对象，net.ListenUnix 创建 0600 socket 所指的对象，os.Chmod 设置其访问位，同 UID 客户端依赖这一对象。私有目录限制对象创建到权限调整之间的暴露，也防止他人替换同名路径。

不同 UID 的授权客户端，应设计专用共享组、正确属组和必要目录搜索权限，socket 可按业务采用 0660；只改成 0660 而组不匹配仍无效。不要把所有人加入高权限服务组，也不要让所有用户写父目录。Go 权限方法说明：https://pkg.go.dev/os#Chmod。

让重启后的权限仍符合约定

手工修改当前 socket 只能影响当前对象。重建后，新权限受创建身份、目录、umask 和服务设置影响，所以修复必须进入启动与部署约定。Go 自建 UnixListener 通常会在关闭时移除自己创建的路径；若通过服务管理器传入监听描述符，创建与清理责任又不同，不能同时让应用和管理器抢着重建。

遇到残留路径，先确认它确实属于本服务、没有活跃监听者，并按受控停止和清理流程处理。不要启动时无条件 Remove 一个输入路径，否则可能删除其他服务仍使用的入口。本文没有在本机运行命令、创建 socket 或修改权限。

chmod 777 为什么不是合适的排障结论？

它扩大了不相关身份的访问，也不能保证路径、监听状态或安全策略正确。应明确是哪一项条件不足，再做最小范围调整。

root 能连就证明权限没问题吗？

不能。特权身份的结果无法代表真实服务账号；应按实际客户端身份判断。

抽象 Unix socket 能用 chmod 控制访问吗？

Linux 抽象地址没有对应路径文件，文件权限方案不适用，应使用相应身份校验与安全设计。