# `os.chmod(TOKEN_FILE, 0o600)` 到底在做什么，从 Python 八进制权限位一直讲到令牌文件安全

看到下面这行代码时，真正需要理解的并不只是一个 `Python` 函数调用。

```python
os.chmod(TOKEN_FILE, 0o600)
```

这行代码通常出现在保存登录凭据、`API Token`、访问令牌、私钥、配置密码之类敏感信息的程序里。结合变量名 `TOKEN_FILE` 来看，它很可能指向某个保存令牌信息的文件。代码执行之后，程序试图把这个文件的访问权限收紧，让文件所有者可以读取和修改，而同一台机器上的其他普通用户不能读取、修改或执行这个文件。

在 `Unix`、`Linux`、`macOS` 这一类采用传统 `POSIX` 权限模型的操作系统上，可以把这行代码近似理解成命令行里的下面一句。

```bash
chmod 600 文件名
```

如果操作成功，再执行

```bash
ls -l 文件名
```

通常会看到类似这样的权限表示。

```text
-rw-------
```

这里的 `rw-------` 几乎就是 `0o600` 的文字版本。文件所有者拥有读取和写入权限，同组用户没有权限，其他用户也没有权限。Python 官方文档明确说明，`os.chmod(path, mode)` 用于把指定路径对象的文件模式修改成给定的数字模式，并且 `mode` 可以由 `stat.S_IRUSR`、`stat.S_IWUSR`、`stat.S_IXUSR` 等权限位组合得到。([Python documentation][1])

代码里的 `os` 是 Python 标准库中的操作系统接口模块。Python 把大量依赖操作系统的功能包装在 `os` 模块中，从而让 Python 程序可以执行文件系统、目录、进程、环境变量等层面的操作。`chmod` 这个名字来自 Unix 世界里的 `change mode`，也就是修改文件的模式。这里所说的 `mode` 包含我们最常见的文件访问权限位。Python 官方文档把 `os.chmod()` 定义为修改指定路径的数字模式，而且从 Python 3.6 开始，参数可以直接接受实现了 `os.PathLike` 接口的路径对象，因此 `TOKEN_FILE` 完全可能是前面通过 `pathlib.Path` 创建出来的 `Path` 对象。([Python documentation][1])

如果前面的代码是这样的

```python
from pathlib import Path

TOKEN_FILE = Path.home() / '.yjb_token.json'
```

那么

```python
os.chmod(TOKEN_FILE, 0o600)
```

处理的就是当前登录用户主目录里的 `.yjb_token.json` 文件。

把几个片段串起来看，程序的意图就相当清楚了。程序把某个敏感 `Token` 写进用户自己的配置文件，再把这个文件的权限改得很严格，降低其他本机用户直接读取该令牌的可能性。

真正容易让刚接触这段代码的人疑惑的地方，往往不是 `chmod`，而是后面的

```python
0o600
```

这里绝对不能把它理解为普通十进制整数六百。

`0o` 是 Python 表示八进制整数的前缀。Python 官方语言参考明确规定，整数可以使用二进制、八进制和十六进制表示，对应的前缀分别是 `0b`、`0o` 和 `0x`。因此 `0o600` 是一个八进制数，而不是十进制 `600`。([Python documentation][2])

例如

```python
0b1010
```

表示二进制。

```python
0o600
```

表示八进制。

```python
0xFF
```

表示十六进制。

对于文件权限，人们长期习惯使用八进制，因为三个二进制权限位刚好可以用一个八进制数字表达。

文件的三个基本权限是

```text
r
w
x
```

也就是

```text
read
write
execute
```

对应数值分别为

```text
r = 4
w = 2
x = 1
```

这里并不是人为随便挑了 `4`、`2`、`1` 三个数字，它们分别对应三个不同的二进制位。

```text
4 = 100
2 = 010
1 = 001
```

因此读取和写入同时存在时就是

```text
100
010
---
110
```

二进制 `110` 转换成八进制刚好就是 `6`。

所以权限数字 `6` 就等于

```text
4 + 2 = 6
```

也就是

```text
read + write
```

没有执行权限。

Linux 的 `chmod(2)` 系统调用文档对此给出了非常直接的定义，所有者读取权限 `S_IRUSR` 对应八进制 `00400`，所有者写入权限 `S_IWUSR` 对应八进制 `00200`，所有者执行权限 `S_IXUSR` 对应八进制 `00100`。前两个权限相加正好得到 `00600`。([man7.org][3])

于是

```python
0o600
```

可以拆成

```text
6 0 0
```

三个数字分别控制三类身份。

左边的 `6` 控制文件所有者。

中间的 `0` 控制文件所属组里的其他用户。

右边的 `0` 控制系统里的其他用户。

这里的分类在 Unix 权限模型里通常写成

```text
user
group
others
```

也经常简写成

```text
u
g
o
```

于是 `600` 的权限结构可以写成

```text
owner    6    rw-
group    0    ---
others   0    ---
```

也就是

```text
rw-------
```

Python 的 `stat` 官方文档也给出了完全对应的定义，`stat.S_IRUSR` 表示文件所有者拥有读取权限，`stat.S_IWUSR` 表示所有者拥有写入权限，`stat.S_IXUSR` 表示所有者拥有执行权限，而 `S_IRGRP`、`S_IWGRP`、`S_IXGRP` 对应组权限，`S_IROTH`、`S_IWOTH`、`S_IXOTH` 对应其他用户权限。([Python documentation][4])

所以

```python
os.chmod(TOKEN_FILE, 0o600)
```

还可以写成更接近语义的形式。

```python
import os
import stat

os.chmod(
    TOKEN_FILE,
    stat.S_IRUSR | stat.S_IWUSR
)
```

两种写法表达的是同一组核心权限。

这里的 `|` 是按位或运算。`stat.S_IRUSR` 打开所有者读取位，`stat.S_IWUSR` 打开所有者写入位，两者组合起来形成 `0o600`。Python 官方文档明确允许把这些 `stat` 常量通过按位或组合后传给 `os.chmod()`。([Python documentation][1])

从计算机组成的角度再往下一层看，会发现八进制权限的设计非常漂亮。

我们把 `600` 展开成三个三位二进制数。

```text
6       0       0
110     000     000

rw-     ---     ---
```

整个九位权限信息就是

```text
110000000
```

每三位恰好描述一类用户，每一位恰好表示 `r`、`w`、`x` 中的一个权限。

这也是 Unix 文件权限为什么特别喜欢八进制的原因。一个八进制数字刚好能表达三个二进制位，而一组 `rwx` 权限也刚好需要三个二进制位。数字和权限位几乎是一一对应的。

于是很多常见权限数字就很容易理解。

```text
7 = 4 + 2 + 1 = rwx
6 = 4 + 2     = rw-
5 = 4 + 1     = r-x
4 = 4         = r--
0             = ---
```

因此看到

```text
755
```

就可以读成

```text
rwxr-xr-x
```

看到

```text
644
```

就可以读成

```text
rw-r--r--
```

看到

```text
600
```

就是

```text
rw-------
```

这也解释了为什么保存 `Token` 的程序喜欢使用 `600`，而普通文本文件经常会看到 `644`。

假定一台 Linux 服务器上有一个用户 `jerry`，某个 Python 程序把访问令牌保存成

```text
/home/jerry/.yjb_token.json
```

如果这个文件是 `644`

```text
-rw-r--r--
```

那么文件所有者可以读写，而其他能够登录这台服务器的普通用户至少可能拥有读取权限。对于普通说明文档，这往往没有什么问题。但如果里面存放的是类似下面这样的数据

```json
{
  `access_token` `敏感令牌内容`
}
```

问题就完全不同了。

一个有效的 `Bearer Token` 往往代表已经完成认证后的访问能力。程序把它落盘后，安全问题已经不只是文件内容本身，而是这个文件究竟允许哪些本机身份读取。

把权限改成

```text
600
```

以后，传统 Unix 权限位变成

```text
-rw-------
```

普通的同组用户和其他用户都不再拥有这三个基础权限位中的读取权。Python 官方 `stat` 文档对所有者、组和其他用户的这些读取、写入、执行位有明确区分。([Python documentation][4])

从软件工程角度看，这行代码因此可以理解成一种最小权限设计。

程序自己需要重新读取 `Token`，所以保留读取权限。

程序以后可能刷新 `Token` 并重新写入文件，所以保留写入权限。

令牌文件不是程序，没有必要直接执行，所以不给执行权限。

其他用户不应该碰这个文件，因此组权限设成 `0`，其他用户权限也设成 `0`。

最后形成的就是

```text
rw-------
```

它和 SSH 私钥、某些凭据文件的安全思路非常接近。

不过这里有一个很容易误解的地方，`600` 并不等于文件已经加密。

`chmod` 管理的是文件系统访问控制，它解决的是谁有资格通过普通文件访问机制打开这个文件，而不是把文件里的字节转换成密文。文件内容仍然可能是普通 JSON、普通文本或其他明文格式。

因此，一个文件从

```text
-rw-r--r--
```

改成

```text
-rw-------
```

并不会让磁盘里的

```text
abcdef123456
```

自动变成加密后的随机字节。

它只是限制了传统 Unix 权限模型里的访问者范围。

同样，在 Linux 上，权限管理还有特权进程的概念。Linux 的 `chmod(2)` 文档说明，修改文件模式时，调用进程的有效用户 ID 通常必须和文件所有者相符，或者进程必须拥有相应的特权能力，例如 `CAP_FOWNER`。所以权限位并不是一道对所有特权主体都绝对不可突破的加密边界。([man7.org][3])

还有一个数字层面的小细节很有意思。

```python
0o600
```

在 Python 内部仍然只是一个整数。

它对应的十进制值其实是

```text
6 × 8²
=
6 × 64
=
384
```

所以

```python
0o600 == 384
```

结果为真。

但实际写文件权限时，代码通常不会写

```python
os.chmod(TOKEN_FILE, 384)
```

虽然数值效果相同，因为 `384` 完全看不出文件权限结构，而 `0o600` 一眼就能让熟悉 Unix 权限的人读出 `rw-------`。

这就是代码可读性的价值。

同样的整数，从数学上看是 `384`，从文件权限语义上看却更适合写成 `0o600`。

回到 `TOKEN_FILE` 这块，还有一个工程细节很重要。`os.chmod()` 修改的是已经存在的文件权限。如果程序的流程是

```python
TOKEN_FILE.write_text(data)

os.chmod(TOKEN_FILE, 0o600)
```

那么逻辑上会出现两个阶段。

文件先被创建并写入。

随后权限才被收紧。

文件最初创建时的权限还会受到创建 API 和进程 `umask` 的影响。Python 官方 `os.open()` 文档说明，新文件的 `mode` 会受到当前 `umask` 的屏蔽。([Python documentation][1])

对于安全要求比较高的凭据程序，更稳妥的设计往往是在创建文件时就要求使用严格权限，而不是先按照较宽松权限创建，再依赖后续 `chmod` 收紧。

例如在 POSIX 环境里，可以采用类似的底层方式。

```python
fd = os.open(
    TOKEN_FILE,
    os.O_WRONLY | os.O_CREAT | os.O_TRUNC,
    0o600
)
```

Python 官方文档说明，`os.open()` 的第三个参数就是新建文件时使用的 `mode`，并且当前 `umask` 会从这个模式中屏蔽掉权限位。由于 `umask` 的作用是移除权限而不是凭空增加这里没有要求的权限，因此从 `0o600` 开始创建敏感文件通常比事后再从较宽权限收紧更符合安全设计思路。([Python documentation][1])

这里再回到 Windows，会出现非常重要的区别。

如果我们的 Python 程序运行在 Windows 上，不能简单认为

```python
os.chmod(TOKEN_FILE, 0o600)
```

就会建立出和 Linux 完全相同的

```text
rw-------
```

访问控制。

Python 当前官方文档写得很明确，Windows 虽然支持 `chmod()` 接口，但通过 Python 的 `os.chmod()` 只能设置文件的只读标志，可以使用 `stat.S_IWRITE` 和 `stat.S_IREAD` 或对应整数值，其余权限位会被忽略。([docs.python.org][1])

这是因为 Windows 的主要文件安全模型与传统 Unix 的三个 `owner / group / others` 权限数字不是同一套体系。Windows 的 NTFS 通常依赖安全描述符与 `ACL` 来描述哪些用户和组能够读取、写入、删除或执行对象，而不是简单靠三位八进制数字解决全部权限问题。

所以跨平台程序里看到

```python
os.chmod(TOKEN_FILE, 0o600)
```

时，不能机械地得出一条结论，认为 Windows 上也已经完成了 Linux 风格的仅当前用户可读写保护。Python 官方文档对这一限制有明确说明。([Python documentation][1])

如果这个程序主要运行在 Linux 或 macOS，那么 `0o600` 的意图非常直接。

如果程序主要运行在 Windows，而开发者真正想达到只有当前 Windows 用户能读取 `Token` 的目标，那么需要考虑 Windows 的 `ACL`、凭据管理机制，或者使用 Windows 自身提供的安全存储能力，而不能只依赖这一个 `os.chmod(..., 0o600)` 调用。

这也是读跨平台 Python 代码时很重要的一种思维方式。Python 提供统一 API，并不代表各个操作系统底层拥有完全相同的安全语义。Python 的 `os` 官方文档自己也强调，一些与操作系统相关的能力会受到平台特性的影响。([Python documentation][1])

还有一个容易被忽略的小问题。

`600` 对普通文件非常适合表达仅所有者可读写，但如果 `TOKEN_FILE` 实际上不是文件，而是目录，那么语义就不同了。

对于目录来说，`r`、`w`、`x` 的作用不像普通文件那样直观，尤其目录的 `x` 代表搜索和进入目录的能力。因此把一个目录设置成

```text
600
```

通常不是我们想要的效果，因为所有者虽然拥有目录读取和写入位，却没有搜索权限。

而从变量名 `TOKEN_FILE` 来判断，它大概率指向普通文件，所以这里使用 `600` 很合理。这部分只能根据变量命名和常见程序设计作出判断，单靠这一行代码并不能百分之百证明 `TOKEN_FILE` 一定指向普通文件。

如果把整行代码再翻译成非常贴近工程人员思维的一句话，可以写成

```text
把 TOKEN_FILE 的权限收紧为仅文件所有者可以读取和修改
```

在 Unix 类系统中，再精确一点就是

```text
owner   read + write
group   no permission
others  no permission
```

对应

```text
rw-------
```

对应

```text
0o600
```

对应 Linux 命令

```bash
chmod 600 文件名
```

对应 Python 权限常量

```python
stat.S_IRUSR | stat.S_IWUSR
```

这一连串表达描述的是同一组核心权限。Python 官方 `stat` 文档明确规定所有者读取与写入位分别是 `S_IRUSR` 和 `S_IWUSR`，Linux 系统调用文档则给出了它们的八进制值 `00400` 与 `00200`，两者合并就是 `00600`。([Python documentation][4])

从更底层的位结构看，它其实就是

```text
0o600

6     0     0
110   000   000
rw-   ---   ---
```

这种表示法非常典型地体现了 Unix 设计里那种紧凑的位级思想。三个 `bit` 表示一组权限，一个八进制数字恰好容纳三个 `bit`，三组数字又恰好对应文件所有者、文件所属组和其他用户。

因此，我们以后再看到

```python
os.chmod(TOKEN_FILE, 0o600)
```

就不必把它当成一串神秘数字。

可以直接在脑中把它还原成

```text
TOKEN_FILE
↓
修改文件权限
↓
0o600
↓
110 000 000
↓
rw- --- ---
↓
只有文件所有者拥有读写权限
```

如果这个文件保存的是养基宝之类应用调用接口时取得的登录 `Token`，这行代码就尤其容易理解。程序需要长期保存认证信息，又不希望同一台 Unix 机器上的其他普通账户直接读取这个令牌，于是在写入 `.yjb_token.json` 之后调用 `os.chmod()` 收紧权限。这是一种很典型的本地凭据文件保护措施。

不过，真正严谨的安全结论应该停在这里，`0o600` 是 Unix 权限层面的限制，不是数据加密，不是完整的秘密管理系统，也不能在 Windows 上直接等价为只允许当前用户访问。尤其是 Windows 平台，Python 官方明确指出 `os.chmod()` 的 Unix 风格权限位大部分会被忽略。([Python documentation][1])

所以这行看似只有几十个字符的 Python 代码，实际上把 Python 数字字面量、八进制、二进制权限位、Unix 文件系统、操作系统安全边界以及凭据保护几个概念连在了一起。掌握了 `4 = r`、`2 = w`、`1 = x`，再记住三位数字依次描述所有者、组和其他用户，以后遇到 `600`、`644`、`700`、`755` 之类的权限数字，基本都可以直接读出来，而不再需要死记每一个数字组合。

[1]: https://docs.python.org/3/library/os.html "os — Miscellaneous operating system interfaces — Python 3.14.7 documentation"
[2]: https://docs.python.org/3/reference/lexical_analysis.html?utm_source=chatgpt.com "2. Lexical analysis — Python 3.14.7 documentation"
[3]: https://man7.org/linux/man-pages/man2/chmod.2.html "chmod(2) - Linux manual page"
[4]: https://docs.python.org/3/library/stat.html "stat — Interpreting stat() results — Python 3.14.7 documentation"


这行代码通常出现在保存登录凭据、API Token、访问令牌、私钥、配置密码之类敏感信息的程序里。结合变量名 TOKEN_FILE 来看，它很可能指向某个保存令牌信息的文件。代码执行之后，程序试图把这个文件的访问权限收紧，让文件所有者可以读取和修改，而同一台机器上的其他普通用户不能读取、修改或执行这个文件。

os.chmod(TOKEN_FILE, 0o600) 到底在做什么？

紫薇堂堂主

编程语言

操作系统

安全

`os.chmod(TOKEN_FILE, 0o600)` 将文件权限设为八进制600（rw-------），即仅文件所有者可读可写，同组和其他用户无任何权限。此操作用于保护敏感令牌文件，如API密钥或登录凭据。注意：此为Unix/Linux权限限制，非加密；Windows下Python仅支持只读标志，需依赖ACL或安全存储实现等效保护。

数据加密

软件工程

文件系统

代码解释

服务器

Windows

Python

Linux

JSON

Unix

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

`os.chmod(TOKEN_FILE, 0o600)` 将文件权限设为八进制600（rw-------），即仅文件所有者可读可写，同组和其他用户无任何权限。此操作用于保护敏感令牌文件，如API密钥或登录凭据。注意：此为Unix/Linux权限限制，非加密；Windows下Python仅支持只读标志，需依赖ACL或安...

os.chmod(TOKEN_FILE, 0o600) 到底在做什么？-腾讯云开发者社区-腾讯云

os.chmod(TOKEN_FILE, 0o600) 到底在做什么？

os.chmod(TOKEN_FILE, 0o600) 到底在做什么？

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐