Что такое umask — и почему 666 минус 033 не равно 633

Смотри, загадка. Ты создаёшь файл командой touch notes.txt. Никаких прав не указываешь. Проверяешь — у файла права 644: тебе можно читать и писать, остальным только читать.

Кто это решил? Ты ведь ничего не просил.

Решила маленькая настройка, про которую почти никто не знает. Она называется umask. И у неё есть подвох, на котором спотыкаются даже те, кто её знает: это не вычитание.

Что такое umask

umask — это маска, которая отнимает права у каждого нового файла. Она живёт в каждом процессе: в твоём терминале, в Python-скрипте, в веб-сервере. Любой файл, который процесс создаёт, проходит через эту маску.

Посмотреть свою можно одной командой:

umask
# 0022

Чаще всего ты увидишь 0022 или 0002. Ведущий ноль не важен, смотри на последние три цифры.

Как она работает

Сначала короткая напоминалка про цифры прав. Каждая цифра — это сумма: 4 = читать, 2 = писать, 1 = запускать. Три цифры — для владельца, группы и всех остальных. 644 значит: владелец 4+2, группа 4, остальные 4.

Теперь сама механика. Программа, создавая файл, обычно просит максимум:

• для обычного файла — 666 (всем читать и писать);
• для папки — 777 (всем всё, включая вход в папку).

А umask вычёркивает из этого максимума свои биты. При маске 022 вычёркивается «писать» у группы и у остальных. Получается 644 для файла и 755 для папки.

Обрати внимание: для файла максимум — 666, а не 777. Права на запуск новый файл не получает никогда, какой бы ни была маска. Вот почему твой свежий скрипт отвечает Permission denied, пока ты не скажешь chmod +x script.sh. Это не баг, а защита: система не хочет, чтобы любой скачанный файл сам по себе становился программой.

Почему это не вычитание

Вот подвох. Кажется, что umask просто вычитается: 666 − 022 = 644. Сходится! Попробуем другую маску:

umask 033
touch a.txt
stat -c '%a' a.txt
# 644

По арифметике должно быть 666 − 033 = 633. А система выдала 644.

Дело в том, что маска не вычитает, а закрывает биты. Цифра 3 в маске — это «писать» (2) + «запускать» (1). У файла и так нет «запускать». Вычеркнуть то, чего нет, нельзя — убирается только «писать». Из 6 остаётся 4.

У папки «запускать» есть, поэтому там арифметика совпадает: 777 с маской 033 даёт 744.

Запомни правило: маска говорит, какие права точно выключить, а не сколько отнять. Считай не столбиком, а по битам: 4, 2, 1 — включено или нет.

Зачем тебе это знать

Хорошо, маска работает тихо. Когда она становится твоей проблемой?

1. Секреты. Ты сохраняешь API-ключ в .env или пишешь токен в файл из скрипта. С маской 022 файл получит 644 — его прочтёт любой пользователь на сервере. Исправить потом через chmod 600 можно, но несколько мгновений файл открыт. Надёжнее закрыть его с рождения:

(umask 077; echo "$TOKEN" > secret.txt)
# права 600: только ты

Скобки здесь — это подоболочка. Маска меняется только внутри неё и не трогает остальной терминал.

2. Общая папка на сервере. Вы с напарником деплоите в одну папку. Он создаёт файлы, а ты не можешь их править — Permission denied. Часто виновата маска 022: группе не дают «писать». Маска 002 оставляет группе запись, и общая работа перестаёт ломаться.

3. Код тоже под маской. В Node fs.writeFileSync(path, data, { mode: 0o666 }) не даст 666 — маска процесса всё равно сработает. В Python os.makedirs(path, mode=0o777) то же самое. Если права вышли «не такие», проверь не код, а umask процесса.

4. Службы. У программы, запущенной как демон, маска своя, не твоя. В systemd её задают строкой UMask=0077 в разделе [Service].

Как поменять umask

• Только сейчас: umask 077 — до конца этой сессии терминала.
• Навсегда для себя: строку umask 027 добавь в ~/.bashrc или ~/.zshrc. Это обычный dotfile с настройками оболочки.
• Для одной команды: скобки, как в примере с секретом выше.

Удобная шкала строгости: 002 — для командной работы, 022 — обычный режим, 077 — всё приватное.

umask и chmod — это одно и то же?

Нет. chmod меняет права у файла, который уже есть. umask задаёт права по умолчанию для файлов, которых ещё нет. Первое — ремонт, второе — правило для новостроек.

Почему в umask 0022 четыре цифры?

Первая цифра — для особых битов (setuid, setgid, sticky). Маска их почти никогда не трогает, поэтому там ноль. Смотри на последние три.

Влияет ли umask на файлы из git clone?

Да. Git создаёт файлы как обычный процесс, и маска срабатывает. Исключение — права на запуск: если скрипт был исполняемым в репозитории, git их восстановит.