Questão Sobre Permissão De Acesso A Pastas

[macsei]

Usando as permissões de pastas e arquivos, se eu quiser proibir o acesso de um usuário a uma pasta, posso agir de duas maneiras distintas. A questão é se essa duas maneiras se equivalem em matéria de segurança. Estou certo da validade da primeira maneira, mas não da segunda.

A primeira maneira é simplesmente criar uma entrada negando o acesso do usuário à pasta. Ainda que esse usuário pertença a um grupo que tenha o direito de acessar a pasta, essa negação terá prioridade, o que o impedirá de acessá-la.

A segunda maneira é apagando as entradas que permitem ao usuário o acesso à pasta, seja uma entrada relacionada diretamente ao usuário, seja um entrada relacionada ao grupo ao qual esse usuário pertence. Não havendo uma entrada que permita direta ou indiretamente ao usuário o acesso à pasta, este fica impedido de acessá-la.

Na prática, quero impedir o acesso de qualquer usuário, exceto um, a uma pasta. Em vez de criar entradas negando o acesso a esses usuários, individualmente ou em grupo, simplesmente retirei as permissões existentes. As permissões da pasta passaram a contar apenas com duas entradas, uma para o único usuário autorizado e outra para o sistema (SYSTEM). Na prática, sei que funciona, os outros usuários não mais têm acesso à pasta. Na teoria, ficou-me a dúvida. Esse procedimento é correto ou eu deveria explicitamente negar o acesso à pasta?

Eu acredito que seja correto. Negar o acesso explicitamente seria mais adequado, por exemplo, quando se quer que um grupo de usuários, com exceção de um usuário específico desse grupo, acesse uma pasta. Então, cria-se uma entrada dando permissão ao grupo e outra negando permissão ao usuário específico.

[jamaica2]

é isso aí mesmo, so acessa uma pasta, quem explicitamente está autorizado a acessa-la, se o user não consta como autorizado a acessar aquela pasta, ele não ira acessa-la

[macsei]

Eu tinha quase certeza de que estava correto, por uma questão de lógica e pelos testes que fiz. Entretanto, não custava nada expor minha dúvida aqui e ver minha "lógica" ir por água abaixo. Ainda não foi desta vez...

Obrigado pela resposta, colega!