La règle précise est la suivante: vous pouvez parcourir un répertoire si et seulement si vous disposez d'une autorisation d'exécution.
Ainsi, par exemple, pour pouvoir accéder dir/subdir/file, vous devez disposer des autorisations d’exécution sur diret dir/subdir, ainsi que des autorisations filepour le type d’accès souhaité. Pour entrer dans les cas critiques, je ne sais pas s'il est universel que vous ayez besoin d'une autorisation d'exécution sur le répertoire actuel pour accéder à un fichier via un chemin relatif (vous le faites sous Linux).
La façon dont vous accédez à un fichier est importante. Par exemple, si vous avez des autorisations d'exécution sur /foo/barmais pas sur /foo, mais que votre répertoire actuel l'est /foo/bar, vous pouvez accéder aux fichiers /foo/barvia un chemin relatif, mais pas via un chemin absolu. Vous ne pouvez pas changer en /foo/bardans ce scénario; un processus plus privilégié a vraisemblablement été mis en place cd /foo/baravant d’aller sans privilège. Si un fichier contient plusieurs liens physiques, le chemin que vous utilisez pour y accéder détermine vos contraintes d'accès.
Les liens symboliques ne changent rien. Le noyau utilise les droits d'accès du processus appelant pour les parcourir. Par exemple, s'il syms'agit d'un lien symbolique vers le répertoire dir, vous devez disposer de l'autorisation d'exécution dirpour y accéder sym/foo. Les autorisations sur le lien symbolique lui-même peuvent ou non avoir de l'importance en fonction du système d'exploitation et du système de fichiers (certains les respectent, d'autres les ignorent).
La suppression de l'autorisation d'exécution du répertoire racine restreint de fait un utilisateur à une partie de l'arborescence de répertoires (processus qu'un processus plus privilégié doit transformer). Cela nécessite que les listes de contrôle d'accès soient utiles. Par exemple, si /et ne /homesont pas autorisés dans le répertoire personnel de joe( setfacl -m user:joe:0 / /home) et /home/joeis joe, alors, joeils ne pourront pas accéder au reste du système (y compris l'exécution de scripts de shell avec /bin/shdes binaires ou des binaires liés dynamiquement qui doivent y accéder) /lib. d besoin d'aller plus loin pour une utilisation pratique, par exemple setfacl -m user:joe:0 /*; setfacl -d user:joe /bin /lib).
L'autorisation de lecture sur un répertoire donne le droit d'énumérer les entrées. Donner une autorisation d'exécution sans donner une permission de lecture est parfois utile: les noms des entrées servent de mots de passe pour y accéder. Je ne vois aucune utilité à donner une autorisation de lecture ou d'écriture à un répertoire sans une autorisation d'exécution.