setcap 更改是永久性的

Question

对文件使用 setcap 时，此更改是永久性的还是我必须在启动时在某处调用 setcap？

setcap cap_sys_nice fooexecutable

Answer 1

该setcap上的文件存储功能，在一个呼叫的扩展属性setxattr。此扩展属性与文件系统中的其他属性（所有权、权限...）一样存储。

从内核 2.6.24 开始，内核支持使用 setcap(8) 将功能集与可执行文件相关联。文件功能集存储在名为 security.capability 的扩展属性中（请参阅 setxattr(2)）。

因此，您不必在每次重新启动时重置上限。