我对配置供用户使用的设备时的安全最佳实践有一个疑问，用户应该能够使用程序，但不能修改系统。
假设我有一个文件夹，/opt/myapp里面包含程序读取的大量文件。为了避免用户过多地了解我的软件内部情况，我不希望用户访问这些文件（我注意到，软件本身也不会向此目录写入任何内容）。
假设文件夹的所有者/组与用户帐户不同。因此：运行chmod o-rwx /opt/myapp将删除所有“其他”权限，因此用户无法导航到该目录。因此，他们将无法看到文件。
但是，我注意到我也可以递归执行此命令，以撤销文件夹内所有文件的权限。但由于用户无法cd进入该目录，这是否相关？
我的问题是：哪个是更好的解决方案？这里有任何现实世界的差异或最佳实践吗？