文件能力和进程能力的区别

Question

我正在尝试了解 POSIX 功能。有时，在阅读文档时，他们指的是文件功能，有时指的是处理功能。

文件能力和进程能力有什么区别？我的理解是，我们使用 setcap 为可执行文件分配功能，然后当它运行时，它是一个进程，它将使用该功能。为什么要附加进程功能，因为进程是内存中的可执行文件。

Answer 1

文件功能在可执行文件上设置设定帽。

但其他功能可以从启动过程中继承。这在Linux 功能手册页:

   Inheritable
          This is a set of capabilities preserved across an execve(2).
          Inheritable capabilities remain inheritable when executing any
          program, and inheritable capabilities are added to the
          permitted set when executing a program that has the
          corresponding bits set in the file inheritable set.

Answer 2

Serge E. Hallyn 和我写道这张纸关于功能的讨论早在 2008 年，就在我们首次在 Linux 内核中实现文件功能之后。它包含一些历史、一些理论和一大堆简单的示例，这些示例仍然通过合理的实践演练试图解释事物是如何工作的。我还更加努力地保留其他参考和示例材料完全有能力地点。