Tailscale Linux安装脚本的umask权限问题分析与修复

在Linux系统中，umask是一个重要的权限控制机制，它决定了新创建文件的默认权限。Tailscale的Linux安装脚本installer.sh在处理文件权限时，假设系统默认使用022的umask值，这在实际部署环境中可能会引发权限问题。

问题背景

Tailscale的安装脚本在创建关键文件时，如APT仓库的GPG签名密钥文件，需要确保这些文件能被相关系统用户(如apt用户)读取。当系统umask被修改为非022值时，脚本创建的文件可能无法被正确访问。

问题复现

通过以下步骤可以复现该问题：

1. 将系统umask设置为027（限制组外用户权限）
2. 以非root用户身份运行安装脚本
3. 脚本会通过sudo提升权限创建文件
4. 最终创建的GPG密钥文件权限为640(rw-r-----)，导致apt无法读取

使用Docker环境可以方便地构建测试场景，模拟不同umask设置下的安装行为。

技术分析

问题的核心在于：

1. 安装脚本没有统一设置umask
2. 通过sudo创建文件时，继承了调用者的umask设置
3. 关键系统文件需要特定的访问权限

在Linux权限模型中，当非所有者用户需要访问文件时，要么需要文件对"其他用户"开放权限，要么需要用户属于文件所属组。对于系统级文件如APT密钥，通常需要设置为全局可读。

解决方案

Tailscale团队通过两个阶段解决了这个问题：

1. 第一阶段：在脚本开头显式设置umask 022

   • 简单直接，但发现sudo环境下会丢失这个设置

2. 第二阶段：改为显式设置关键文件的权限

   • 对每个创建的文件执行chmod设置
   • 确保文件权限不受调用者umask影响
   • 更具针对性和可靠性

最佳实践建议

对于类似的安装脚本开发，建议：

1. 不要依赖系统默认umask
2. 对关键文件显式设置权限
3. 考虑sudo环境下的权限继承问题
4. 测试不同umask设置下的安装行为
5. 为系统级文件设置宽松的读取权限

总结

Tailscale安装脚本的权限问题展示了Linux环境下umask设置对系统工具的影响。通过显式控制文件权限而非依赖默认设置，可以确保安装过程在各种环境下的可靠性。这个案例也为其他系统工具的开发者提供了有价值的参考。