配置文件明明可读服务仍报Permission denied，怎样逐级检查父目录搜索权限

文件本身有读取权限，不代表服务用户能到达它。路径解析需要逐级目录搜索权限；找到第一个不可穿越的父目录，再按实际用户与授权策略修正，不能只给文件反复chmod。

明确服务uid与组

演示路径中配置文件为0644，但中间private目录只有属主可访问。服务UID不是目录属主，其他位没有搜索权限，因此在到达文件之前就会失败。目录的读权限影响列目录，搜索权限影响访问其中已知名字，两者不要混为“目录可读”。

逐级检查目录搜索权限

离线程序先逐级计算传统mode位，明确定位唯一阻挡目录；Linux原生分支使用临时目录，将全新子进程降到65534身份，第一次读失败，给该临时父目录搜索权限后第二次读到demo。它不会对已有目录递归改权限，也不把root能读取当成服务用户能读取。

逐级权限表应注明检查身份的UID、组集合与路径组件，单看用户名可能被容器映射或同名账号误导。示例简化为属主与其他位，不处理组匹配；原生分支清空补充组再降权，让失败原因可解释。现场有组权限、ACL或安全模块时，应补充相应证据而不是照搬这张简化表。

复查其他父目录与符号链接目标

真实系统还可能有ACL、SELinux、AppArmor、挂载选项和容器命名空间。mode位看似允许仍被拒时，需要继续查对应审计证据；反之也不应该为了省事给整棵目录777。修正目标是让所需服务身份访问必要路径，同时保留配置文件本身的适当保密性。

适用范围：离线模型只覆盖传统mode位；真实ACL/SELinux/AppArmor须另查，不chmod用户现有目录。

配套样本与复核入口

• run.py：独立运行程序，包含合成输入、操作和正反例断言。
• case.json：输入说明、预期任务与适用范围，便于保存和交接。
• observed.json：本次实际执行输出；临时路径、进程号和计时可能随运行变化。

在Linux隔离环境运行可同时得到离线阻挡目录和原生降权结果。若不是root，程序会保留模型结果而不冒称降权分支已执行，应查看native是否为空。本次复核使用新子进程完成身份切换，目标仍是它创建的临时树；读者不需要也不应修改现有服务用户或全局组成员来重现实验。

Linux与Python3.8以上；权限降权分支需在隔离环境以root启动。程序只对自己创建的子进程、临时路径施加改变，不接受生产路径参数。

python3 -B run.py

阅读输出时，先按case.json中的任务逐项核对网关配置父目录执行权限，再与observed.json比较。非零退出表示依赖或断言需要处理，应保留实际错误。

一手依据1（解析每级路径需目录搜索权限；文件可读不等于父目录可穿越。）。

继续阅读：网关交给systemd后找不到相对配置文件，怎样核对工作目录与绝对路径；迁移网关配置tar包时，怎样阻止包内属主和权限覆盖目标策略；想把网关容器根目录设为只读，怎样先找全必须写入的路径。