Linux安全体系的文件权限管理

自主访问机制(Discretionary Access Control，DAC) 指对象（比如程序、文件或进程等）的的拥有者可以任意的修改或授予此对象相应的权限。Linux的UGO（User、Group、Other）和ACL（Access Control List，访问控制列表）权限管理方式就是典型的自主访问机制。

Linux支持UGO和ACL权限管理方式，UGO将权限位信息存储在节点的权限中，ACL将权限位信息存储在节点的扩展属性中。不同的文件系统权限位的存储和处理方式不一样，具体的文件系统（如：ext4）实现文件权限的管理。

本章分析了UGO和ACL权限管理方式和能力机制。

1 unix文件权限管理

传统的Unix文件系统的UGO（User、Group、Other）权限管理方式在文件和目录上设置权限位，用来控制用户或用户组对文件或目录的访问。Linux继承了Unix的UGO权限管理方式。

文件或目录文件创建时，文件系统会将文件类型、时间信息、权限信息、权限位信息存入到文件的节点中。

1.1 文件的权限位分配

一个文件创建后，它具有读、写和执行三种操作方式，UGO权限管理方式将访问文件的操作者简单地分为三类：文件属主、同组用户和其他组用户。文件属主是指创建文件的用户，他是文件的拥有者，它可以设置用户的读、写和执行权限。同组用户是指与文件属主同一个用户组的用户。

UGO权限管理方式将文件的权限用3组3位二进制位描述，还在最前面加上一位作为文件类型标识。每类用户占3位，读、写、执行权限各用1位描述，具有权限时，就将该位设置为1。读、写、执行权限分别用r、w、x三个字符表示。第一组权限位

例如：一个文件的权限列出如下：

[root@localhost /root]

^-^$ ls –l

-rw-r--r-- 1 root root 195 Jan 28 22:12 scsrun.log

最前面一位‘-’，表示文件类型为普通文件。

第一个组为"rw-"，表示文件属主具有读和写权限，但没有执行权限。

第二个组为"r--"，表示同组其他用户具有读权限，但没有写和执行权限。

第三个组为"r--"，表示其他组用户具有读权限，但没有写和执行权限。

在UGO权限管理方式中，第一个4位二进制组的第一位（最前面的一位）表示文件类型这些文件类型的描述符及含义说明如表1：

表1文件类型的描述符

例如：一个目录的权限位列出如下：

[root@localhost /root]

^-^$ ls -l

drwxr-xr-x 2 root root 4096 Jan 28 22:33 Desktop

最前面一位‘d’，表示文件类型为目录。

第一个组为"drwx"，表示文件属主具有读、写和执行权限。

第二个组为"r-x"，表示同组其他用户具有读和执行权限，但没有写权限。

第三个组为"r-x"，表示其他组用户具有读和执行权限，但没有写权限。

目录和文件的权限位是一样的，但目录与文件在权限定义上有一些区别，目录的读操作指列出目录中的内容，写操作指在目录中创建或删除文件，执行操作指搜索和访问目录。

1.2 改变权限的命令

用户缺省创建文件时，用户本身对这个文件有读写操作权限，其他用户对它具有读操作权限。用户缺省创建目录时，用户本身对目录有读、写和执行权限，同组用户有读和执行权限，其他组用户有执行权限。例如：用户创建的test文件和testdir目录的权限位列出如下：

-rw-r--r-- 1 root root 0 Feb 8 18:20 test

drwxr-xr-x 2 root root 4096 Feb 8 18:22 testdir

用户可以使用命令chmod来改变权限位，只有用户是文件的所有者或者root用户，他才能有权限改变权限位。

命令chmod有符号模式和绝对模式，符号模式指用权限位的符号形式来设置新权限位，绝对模式指直接用权限位的二进制位的数字形式设置权限位。

（1）chmod命令的符号模式

chmod命令的格式列出如下：

chmod [who] operator [permission] filename

who的含义列出如下：

u 文件属主权限。

g 属组用户权限。

o 其他用户权限。

a 所有用户。

operator的含义列出如下：

+ 增加权限。

- 取消权限。

= 设定权限。

permission的含义列出如下：

r 读权限。

w 写权限。

x 执行权限。

s 文件属主和组set-ID。

t 粘性位*。

l 给文件加锁，使其他用户无法访问。

u,g,o 分别表示对文件属主、同组用户及其他组用户操作。

t sticky bit，常用于共享文件，如：/tmp分区。设置t位后，同组用户即使用对文件有写操作权限，也不能删除文件。

例如：一些chomd操作命令列出如下：

chmod a-x temp //删除所有用户的执行权限

chmod og-w temp //删除同组用户和其他用户的写权限

chmod g+w temp //增加同组用户写权限

chmod u+x temp //增加文件属主执行权限

chmod go+x temp //增加同组用户和其他用户执行权限

（2）chmod命令的绝对模式

chmod命令绝对模式的一般形式为：

chmod [mode] file

其中mode是一个八进制数，表示权限位。在绝对模式中，每一个权限位用一个八进制数来代表，权限位说明如下：

0 4 0 0 文件属主可读

0 2 0 0 文件属主可写

0 1 0 0 文件属主可执行

0 0 4 0 同组用户可读

0 0 2 0 同组用户可写

0 0 1 0 同组用户可执行

0 0 0 4 其他用户可读

0 0 0 2 其他用户可写

0 0 0 1 其他用户可执行

计算八进制权限的计算方法类似如下：

文件属主：r w x：4 + 2 + 1

同组用户：r w x：4 + 2 + 1

其他用户：r w x：4 + 2 + 1

用chmod命令绝对模式设置文件权限的样例列出如下：

chmod 666 rw- rw- rw- //所有用户具有读和写的权限

chmod 644 rw- r-- r- - //所有文件属主具有读和写的权限，同组或其他用户具有读权限

1.3 suid/guid

如果属主用户对文件设置了suid权限，那么其他用户在shell执行文件时也具有其属主的相应权限。如果属主是root用户,那么其他普通用户在执行文件时也具有root用户的权限。guid 有相似的机制，执行相应文件的用户将具有该文件所属用户组中用户的权限。

有些特殊情况需要使用suid/guid，例如：数据库备份时需要有系统管理权限，而系统运行的普通用户下，此时，系统管理员设置备份脚本的suid/guid，数据库备份时，备份程序通过运行备份脚本获得系统管理员权限，在备份完成后，数据库程序又恢复到普通用户的权限。设置suid的方法是将相应的权限位之前的那一位设置为4，设置guid的方法是将相应的权限位之前的那一位设置为2，如果同时设置suid和guid，将相应的权限位之前的那一位设置为4+2。设置suid或guid需要同时设置执行权限位。

例1设置suid

下面方法给文件test设置了suid，755表示文件属主具有读、写和执行的权限，同组用户和其他用户具有读和执行的权限。

chmod 4755 test

chmod u+s test

设置结果为：rws r-x r-x，其中s表示设置了suid，表示其他用户在shell执行test时具有属

主的权限。

例2同时设置suid和guid

下面方法给文件test设置了suid和guid位，711表示文件属主具有读、写和执行的权限，同组用户和其他用户具有执行的权限。

chmod 6711 test

设置结果为：rws --s --s。第1个s表示设置了suid，第2个和第3个s表示设置一guid位。

1.4 umask

umask命令用于设置umask值，通过设置umask值，可以为新创建的文件和目录设置缺省权限。umask命令的形式如下：

umask nnn

其中nnn为umask的值，范围为000 - 777。

umask值与创建时的权限位进行"与非"逻辑运算，相当于从权限位中去掉相应的位，得到缺省的权限位。

例如，umask值为002时，创建文件和目录的缺省权限分别为664和775。因为文件创建是不能有执行权限，为666，666与002进行"与非"逻辑运算后得到664。目录创建时权限为777,777与002进行"与非"逻辑运算后得到775。

例1设置umask值

命令umask设置umask值的方法如下：

$ umask 002

2 Linux能力机制

早期linux上信任状模型非常简单，就是"超级用户对普通用户"模型。普通用户的很多操作需要root权限，这通过setuid实现。如果程序编写不好，就可能被攻击者利用，获得系统的控制权。使用能力机制(capability)减小这种风险。系统管理员为了系统的安全可以剥夺root 用户的能力，这样即使root用户也将无法进行某些操作。而这个过程又是不可逆的，也就是说如果一种能力被删除，除非重新启动系统，否则即使root用户也无法重新添加被删除的能力。

2.1 能力的定义

能力机制(capability)相关结构列出如下（在include/linux/capability.h中）：

typedef struct kernel_cap_struct {

__u32 cap;

} kernel_cap_t;

typedef struct __user_cap_data_struct {

__u32 effective;//进程中有效的能力,是permitted的子集，允许的能力不一定有效

__u32 permitted;// 进程允许使用的能力

__u32 inheritable;// 能够被当前进程执行的程序继承的能力

} __user *cap_user_data_t;

每个进程的任务结构中有三个和能力有关的位图变量，列出如下（在include/linux/sched.h 中）：

struct task_struct {

……

/* 进程信任值*/

uid_t uid,euid,suid,fsuid;

gid_t gid,egid,sgid,fsgid;

struct group_info *group_info;

kernel_cap_t cap_effective, cap_inheritable, cap_permitted;//能力机制

unsigned keep_capabilities:1;//表示是否保持能力值

struct user_struct *user;

……

}

每种能力由一位表示，1表示具有某种能力，0表示没有。因而这三个能力变量最大只能表示32个能力的有否。当进程进行操作时，检查任务结构中的cap_effective的对应位是否有效，例如，如果一个进程要设置系统的时钟，Linux的内核就会检查cap_effective的CAP_SYS_TIME位(第25位)是否有效。

能力定义的宏定义列出如下（在include/linux/capability.h中）：

CAP_CHOWN 0 //允许改变文件的所有权

CAP_DAC_OVERRIDE 1 //忽略对文件的所有DAC访问限制

CAP_DAC_READ_SEARCH 2 //忽略所有对读、搜索操作的限制

CAP_FOWNER 3 //如果文件属于进程的UID，就取消对文件的限制

CAP_FSETID 4 //允许设置setuid位

CAP_KILL 5 //允许对不属于自己的进程发送信号

CAP_SETGID 6 //允许改变组ID

CAP_SETUID 7 //允许改变用户ID

CAP_SETPCAP 8 //允许向其它进程转移能力以及删除其它进程的任意能力CAP_LINUX_IMMUTABLE 9 //允许修改文件的不可修改(IMMUTABLE)和只添加(APPEND-ONLY)属性

CAP_NET_BIND_SERVICE 10 //允许绑定到小于1024的端口

CAP_NET_BROADCAST 11 //允许网络广播和多播访问

CAP_NET_ADMIN 12 //允许执行网络管理任务：接口、防火墙和路由等

CAP_NET_RAW 13 //允许使用原始(raw)套接字

CAP_IPC_LOCK 14 //允许锁定共享内存片段

CAP_IPC_OWNER 15 //忽略IPC所有权检查

CAP_SYS_MODULE 16 //插入和删除内核模块

CAP_SYS_RAWIO 17 //允许对ioperm/iopl的访问

CAP_SYS_CHROOT 18 //允许使用chroot()系统调用

CAP_SYS_PTRACE 19 //允许跟踪任何进程

CAP_SYS_PACCT 20 //允许配置进程记帐(process accounting)

CAP_SYS_ADMIN 21 //允许执行系统管理任务：加载/卸载文件系统、设置磁盘配额、开/关交换设备和文件等

CAP_SYS_BOOT 22 //允许重新启动系统

CAP_SYS_NICE 23 //允许提升优先级，设置其它进程的优先级

CAP_SYS_RESOURCE 24 //忽略资源限制

CAP_SYS_TIME 25 //允许改变系统时钟

CAP_SYS_TTY_CONFIG 26 //允许配置TTY设备

CAP_MKNOD 27 //允许使用mknod()系统调用

CAP_LEASE 28 //允许取消文件上的租借期

内核提供了两个系统调用sys_capget和sys_capset来得到或设置指定PID或所有进程的能力，这两个函数都是通过对进程任务结构task_struct中的能力变量进行操作来实现的。

在kernel/capability.c中有全局变量cap_bset设置进程初始的能力，这个变量列出如下：kernel_cap_t cap_bset = CAP_INIT_EFF_SET;

用户可以在/proc/sys/kernel/cap-bound文件中可看到系统保留的能力。在默认情况下，所有的位都是打开的。在内核内存区中，/proc/sys/kernel/cap-bound直接映射到cap_bset变量中。

root用户可以删除系统保留的能力。却不能再恢复被删除的能力，只有init进程能够添加能力。通常，一个能力如果从能力边界集中被删除，只有系统重新启动才能恢复。

用户可通过shell命令行设置能力。例如：禁止加载/卸载任何内核模块，CAP_SYS_MODULE 能力的值是16，可用下列命令完成：

[root@]# echo 0xFFFEFFFF >/proc/sys/kernel/cap-bound

2.2 能力机制操作函数集

Linux对能力的操作函数定义在操作函数集capability_ops，其列出如下（在linux26/security/capability.c中）：

static struct security_operations capability_ops = {

.ptrace = cap_ptrace, //检查是否有执行ptrace的能力

.capget = cap_capget,//返回有效能力、允许能力和可继承能力的能力值//能力集检查，有效能力应是允许能力的子集，可继承能力应是当前进程与目标进程能力集的子集

.capset_check = cap_capset_check,

.capset_set = cap_capset_set,//给目标进程设置有效能力、允许能力和可继承能力

.capable = cap_capable,//检查进程是否具有函数参数指定的能力

.settime = cap_settime,//检查是否有设置时间的能力

//设置结构netlink_skb_parms的成员eff_cap为当前进程的有效能力

.netlink_send = cap_netlink_send,

.netlink_recv =cap_netlink_recv,//检查成员eff_cap是否具有函数参数指定的能力

.bprm_apply_creds = cap_bprm_apply_creds,//设置二进制应用程序运行时的能力集.bprm_set_security = cap_bprm_set_security,//给进程设置能力集

.bprm_secureexec = cap_bprm_secureexec,//检查当前进程uid与euid、gid与egid 是否相等

.inode_setxattr = cap_inode_setxattr,//检查是否有系统管理员的能力

.inode_removexattr = cap_inode_removexattr, //检查是否有系统管理员的能力

//以前是root，当前进程是非root用户，清除有效能力

.task_post_setuid = cap_task_post_setuid,

.task_reparent_to_init = cap_task_reparent_to_init,

.syslog = cap_syslog,//检查是否有系统管理员的能力

//检查是否有系统管理员的能力及足够的页

.vm_enough_memory = cap_vm_enough_memory,

};

进程运行时，通过检查进程的有效能力集tsk->cap_effective的能力位，判断进程是否具有相应的能力。检查能力的通用函数cap_capable列出如下：

int cap_capable (struct task_struct *tsk, int cap)

{

if (cap_raised(tsk->cap_effective, cap))//比较能力对应的位

return 0;

return -EPERM;

}

#define CAP_TO_MASK(x) (1 << (x?

#define cap_raised(c, flag) (cap_t(c) & CAP_TO_MASK(flag?

2.3 应用程序运行设置信任值

二进制应用程序运行时，Linux内核会调用函数load_elf_binary装载执行二进制elf格式文件。函数load_elf_binary执行时，会调用函数compute_creds设置新运行进程的信任值，包括uid、gid、能力集、安全ID、密钥环等。函数compute_creds的调用层次图如图5。

图5函数compute_creds的调用层次图

函数compute_creds计算并设置当前进程的信任值，然后设置信号、资源限制，唤醒等待的父进程。其列出如下（在linux26/fs/exec.c中）：

void compute_creds(struct linux_binprm *bprm)

{

int unsafe;

if (bprm->e_uid != current->uid)

suid_keys(current);//目前函数未实现，仅返回0

exec_keys(current);

task_lock(current);

//如果当前进程的文件或信号处理等的引用计数超过1，将unsafe设置为LSM_UNSAFE_SHARE，表示非安全共享

unsafe = unsafe_exec(current);

security_bprm_apply_creds(bprm, unsafe);//设置当前进程的能力集、uid、gid和sid task_unlock(current);

//如果有不安全因素，杀死当前进程，否则，设置信号、资源限制、唤醒等待的父进程security_bprm_post_apply_creds(bprm);

}

新运行的进程应清空线程密钥环和进程密钥环。清除函数exec_keys列出如下（在linux26/security/keys/process_keys.c中）：

int exec_keys(struct task_struct *tsk)

{

struct key *old;

/*新运行的任务没有线程密钥环*/

task_lock(tsk);

old = tsk->thread_keyring;

tsk->thread_keyring = NULL; //进程的线程密钥环设置为空

task_unlock(tsk);

key_put(old);//清除进程旧的线程密钥环

/* 新运行的进程删除进程密钥环*/

spin_lock_irq(&tsk->sighand->siglock);

old = tsk->signal->process_keyring;

tsk->signal->process_keyring = NULL;//进程密钥环设置为空

spin_unlock_irq(&tsk->sighand->siglock);

key_put(old); //清除旧的进程密钥环

return 0;

}

函数selinux_bprm_apply_creds给当前进程设置uid、gid、能力集和sid。其列出如下（在linux26/security/capability.c中）：

static void selinux_bprm_apply_creds(struct linux_binprm *bprm, int unsafe)

{

struct task_security_struct *tsec;

struct bprm_security_struct *bsec;

u32 sid;

int rc;

secondary_ops->bprm_apply_creds(bprm, unsafe);//设置uid、gid和能力集

tsec = current->security;

bsec = bprm->security;

sid = bsec->sid;

tsec->osid = tsec->sid;

bsec->unsafe = 0;

if (tsec->sid != sid) {

/* 检查共享状态，如果检查进程有共享权限，不改变sid*/

if (unsafe & LSM_UNSAFE_SHARE) {

rc = avc_has_perm(tsec->sid, sid, SECCLASS_PROCESS,

PROCESS__SHARE, NULL);

if (rc) {

bsec->unsafe = 1;

return;

}

}

/* 检查有ptrace权限，不改变sid */

if (unsafe & (LSM_UNSAFE_PTRACE | LSM_UNSAFE_PTRACE_CAP)) {

rc = avc_has_perm(tsec->ptrace_sid, sid,

SECCLASS_PROCESS, PROCESS__PTRACE,

NULL);

if (rc) {

bsec->unsafe = 1;//表示不安全，随后的函数后杀死当前进程

return;

}

}

tsec->sid = sid;//设置进程的sid为bprm的sid，即设置为来自文件的sid }

}

函数cap_bprm_apply_creds设置当前进程的uid、gid和能力集。二进制文件通过调用函数fork()，产生新的进程，这个新的进程为当前进程。

当前进程的uid和gid来自于文件系统的uid和gid。

当前进程的能力集来自于父进程的能力集、系统的缺省能力集cap_bset和linux_binprm的能力集。结构linux_binprm存储二进制文件执行时产生的各种参数。当前进程能力集的计算逻辑公式列出如下：

current->cap_permitted = ?(bprm->cap_permitted) ∩ cap_bset) ∪) ∩ (current->cap_permitted)

current->cap_effective = (current->cap_permitted) ∩(current->cap_permitted)

函数cap_bprm_apply_creds列出如下（在linux26/security/commoncap.c中）：

void cap_bprm_apply_creds (struct linux_binprm *bprm, int unsafe)

{

/* Derived from fs/exec.c:compute_creds. */

kernel_cap_t new_permitted, working;

//cap_bset是存放能力集的全局变量，表示系统的能力集

//得到bprm->cap_permitted与cap_bset的交叉集合

new_permitted = cap_intersect (bprm->cap_permitted, cap_bset);

working = cap_intersect (bprm->cap_inheritable,

current->cap_inheritable);

//表示得到new_permitted和working的合并集合

new_permitted = cap_combine (new_permitted, working);

if (bprm->e_uid != current->uid || bprm->e_gid != current->gid ||

//判断new_permitted是否是current->cap_permitted的子集

!cap_issubset (new_permitted, current->cap_permitted)) {

current->mm->dumpable = suid_dumpable;

if (unsafe & ~LSM_UNSAFE_PTRACE_CAP) {

if (!capable(CAP_SETUID)) {//检查是否有设置uid能力的标识CAP_SETUID bprm->e_uid = current->uid;//设置uid

bprm->e_gid = current->gid;

}

if (!capable (CAP_SETPCAP)) { //如果有设置进程能力集的能力

new_permitted = cap_intersect (new_permitted,

current->cap_permitted);

}

}

}

current->suid = current->euid = current->fsuid = bprm->e_uid;//设置uid

current->sgid = current->egid = current->fsgid = bprm->e_gid; //设置gid

/*init进程需要保留init_task中初始化的能力集，不需要再设置*/

if (!is_init(current)) {//如果是非init进程，设置能力集

current->cap_permitted = new_permitted;

current->cap_effective =

cap_intersect (new_permitted, bprm->cap_effective);

}

current->keep_capabilities = 0; //表示不需要保持能力集

}

函数selinux_bprm_post_apply_creds在设置信任值后调用，用来设置信号、资源限制、唤醒等待的父进程。其列出如下：

static void selinux_bprm_post_apply_creds(struct linux_binprm *bprm)

{

struct task_security_struct *tsec;

struct rlimit *rlim, *initrlim;

struct itimerval itimer;

struct bprm_security_struct *bsec;

int rc, i;

tsec = current->security;

bsec = bprm->security;

if (bsec->unsafe) {//如果存在不安全因素

force_sig_specific(SIGKILL, current);//发信号SIGKILL杀死当前进程

return;

}

if (tsec->osid == tsec->sid)

return;

/*关闭文件，因为新进程的sid未被授权*/

flush_unauthorized_files(current->files);

/*检查新sid能否从旧的sid继承信号状态，如果不能，清除itimers，避免随后信号产生、刷新和非阻塞信号。这发生在进程sid已更新之后，sid更新以便在对新sid检查flush 后完成任何kill操作*/

rc = avc_has_perm(tsec->osid, tsec->sid, SECCLASS_PROCESS,

PROCESS__SIGINH, NULL);

if (rc) {

memset(&itimer, 0, sizeof itimer);

for (i = 0; i < 3; i++)

do_setitimer(i, &itimer, NULL);

flush_signals(current);

spin_lock_irq(¤t->sighand->siglock);

flush_signal_handlers(current, 1);//1表示强制执行

sigemptyset(¤t->blocked); //清空阻塞的信号

recalc_sigpending(); //重计算当前进程的挂起状态，并设置或清除TIF_SIGPENDING信号

spin_unlock_irq(¤t->sighand->siglock);

}

/*检查新sid是否能从旧的sid继承资源限制。如果不能，将重设置所有软件限制到较低值，这个较低值是当前进程的硬件限制和init进程的软件限制的较小者*/ rc = avc_has_perm(tsec->osid, tsec->sid, SECCLASS_PROCESS,

PROCESS__RLIMITINH, NULL);

if (rc) {

for (i = 0; i < RLIM_NLIMITS; i++) {

rlim = current->signal->rlim + i;

initrlim = init_task.signal->rlim+i;

rlim->rlim_cur = min(rlim->rlim_max,initrlim->rlim_cur);

}

if (current->signal->rlim[RLIMIT_CPU].rlim_cur != RLIM_INFINITY) {

/*这将引起RLIMIT_CPU计算再次进行*/

current->it_prof_expires = jiffies_to_cputime(1);

}

}

/*如果父进程正在等待，以便能再次对新进程sid检查等待许可，唤醒父进程*/

wake_up_interruptible(¤t->parent->signal->wait_chldexit);

}

3 ACL权限管理

由于UGO 权限管理方式只能对属主、同组用户和其他组用户进行权限管理，很难对每个用户或用户组进行权限管理，这种局限性导致了ACL的产生。

ACL（Access Control List，访问控制列表）基于IEEE POSIX 1003.1e标准，它对UGO 权限管理方式进行了扩展，可以对任意的用户/组分配读、写和执行操作权限。EXT2/EXT3/EXT4、JFS、XFS和ReiserFS等文件系统都支持ACL。当设置了ACL属性并用命令ls -l查看文件时，ACL 属性表现为UGO权限位末尾的‘+’符号。

为了让文件系统支持ACL，在挂载分区时需要添加参数"acl"。手动挂接的命令如下：mount -t ext3 -o rw,acl /dev/hda8 /your_mount_point

还可以在文件/etc/fstab中加入下列行，系统启动时会自动挂接文件系统：

/dev/hda8 ext3 /your_mount_point defaults,acl 1 1

3.1ACL权限管理命令

ACL权限管理使用命令getfacl查看ACL属性，使用命令setfacl设置ACL属性。下面分别说明这两个命令。

（1）命令getfacl

命令getfacl用来显示文件名、所有者、组和访问控制列表。如果一个目录有缺省的ACL，它将显示缺省的ACL。非目录没有缺省ACL。如果getfacl用于不支持ACL的文件系统，它将显示传统的UGO 权限管理方式的权限位信息。

例如：命令getfacl取得文件test的ACL信息的方法如下：

^-^$ getfacl test

# file: test

# owner: root

# group: root

user::rw-

group::r--

other::r--

（2）命令setfacl

命令setfacl用来设置文件访问控制列表，命令格式如下：

setfacl [-bkndRLPvh] [{-m|-x} acl_spec] [{-M|-X} acl_file] file ...

setfacl --restore=file

其中，选项-m和-M表示修改ACL，-x和-X表示删除ACL条目。详细说明请参考man文档。如果在不支持ACL的文件系统使用命令setfacl，它以最接近于ACL的权限修改权限位。

例如，一个设置ACL的命令列出如下：

^-^$ setfacl -m u:testu:wr test

上面的命令表示对于test文件，给用户testu设置了读和写权限。使用命令ls -l查看，可发现权限位的末尾多出了一个‘+’符号，它表示设置了ACL。命令ls -l列出如下：

^-^$ ls -l

-rw-rw-r--+ 1 root root 0 Feb 8 18:20 test

再使用命令getfacl查看ACL信息，发现给testu用户设置了读写权限。命令getfacl列出如下：^-^$ getfacl test

# file: test

# owner: root

# group: root

user::rw-

user:testu:rw-

group::r--

mask::rw-

other::r--

从上例可以看出，每次使用命令getfacl后，getfacl还设置了mask（掩码），还可以在命令中单独使用mask项来设置掩码。通常，掩码的值与命令getfacl设置的权限值一致。掩码与用户的权限位值进行与逻辑操作后，最终决定文件的操作权限。

如果命令setfacl不指定操作用户，则表示对默认属主用户权限的操作，使用命令setfacl可实现功能上和命令chmod相同操作。例如setfacl u::rwx,g::rwx,o::rwx test等价于chmod 777 test。

3.2命令getfacl和setfacl机制分析

命令getfacl通过调用libacl库的函数acl_get_file得到每个文件的ACL信息；命令setfacl通过调用libacl库的函数acl_set_file设置每个文件的ACL信息。ACL信息存储在文件系统的节点的扩展属性中，不同类型的文件系统，节点数据以不同的形式存放于硬盘上。

函数acl_get_file与acl_set_file进行方向相反的操作，函数acl_get_file调用文件系统的系统调用函数getxattr，从节点的扩展属性中得到ACL信息，然后转换成本地的ACL信息结构，最后，由命令getfacl将本地的ACL信息结构转换成适合显示的格式。

命令acl_set_file将用户输入的信息转换成本地ACL信息结构，接着，函数acl_set_file再将本地ACL信息结构转换成文件系统的ACL信息结构，然后，将ACL信息更新到节点的扩展属性中。

由于函数acl_get_file与acl_set_file的机制类似，操作方向相反，因此，下面仅分析函数acl_get_file。

函数acl_get_file得到一个文件或目录文件的ACL数据。如果节点存在扩展属性，它将调用文件系统的系统调用函数getxattr从扩展属性中提取ACL数据。如果扩展属性不存在，它将调用函数stat从节点的属性读取权限信息位数据，并调用函数acl_from_mode将它转换成ACL数据。

函数acl_get_file的调用层次图如图3。图3中，在函数getxattr以后的调用函数进入内核空间。在内核空间，虚拟文件系统的函数vfs_getxattr调用再直接调用具体文件系统的节点操作函数集的函数inode->i_op->getxattr(...)读取节点的扩展属性。

图3函数acl_get_file的调用层次图

文件系统的ACL信息结构由一个属性头和多个属性条目组成，节点的操作函数getxattr根据ACL类型，调用相应的ACL操作函数，从扩展属性中解释出ACL数据。这个ACL信息分别用结构acl_ea_header和acl_ea_entry描述。其列出如下（在acl/include/acl_ea.h中）：typedef struct {//ACL头结构

u_int32_t a_version;//版本

acl_ea_entry a_entries[0];//ACL条目的指针

} acl_ea_header;

typedef struct {//ACL条目结构

u_int16_t e_tag;//标签值

u_int16_t e_perm;//操作许可值

u_int32_t e_id;//ID，如：用户ID、组ID等

} acl_ea_entry;

函数acl_get_file先设置猜测的ACL条目数，因为大多数情况下，文件ACL的条目数不会超过16个。然后分配猜测数计算出的内存空间。接着，它调用函数getxattr得到文件的ACL 条目数，并验证猜测的条目数是否合适。如果实际的条目数比猜测的条目数大，则按实际的条目数重新计算并分配分配，再调用getxattr得到文件的ACL信息。这样，大多数情况下，只需要调用一次函数getxattr，就可得到ACL信息，提高了执行效率。

函数acl_get_file列出如下（在acl/libacl/acl_get_file.c中）：

acl_t acl_get_file(const char *path_p, acl_type_t type)

{

//猜测有16条ACL条目，并计算分配空间大小，后面再检查猜测是否正确

const size_t size_guess = acl_ea_size(16);

char *ext_acl_p = alloca(size_guess);//分配空间

const char *name;

int retval;

switch(type) {

case ACL_TYPE_ACCESS://访问的ACL类型

name = ACL_EA_ACCESS;

break;

case ACL_TYPE_DEFAULT://缺省的ACL类型

name = ACL_EA_DEFAULT;

break;

default:

errno = EINVAL;

return NULL;

}

if (!ext_acl_p)

return NULL;

retval = getxattr(path_p, name, ext_acl_p, size_guess);

if (retval == -1 && errno == ERANGE) {//条目数超过了猜测的条目数，需要重新分配空间

retval = getxattr(path_p, name, NULL, 0);

if (retval > 0) {//返回ACL的条目数

ext_acl_p = alloca(retval);//重分配空间

if (!ext_acl_p)

return NULL;

retval = getxattr(path_p, name, ext_acl_p, retval); //再读取ACL条目}

}

if (retval > 0) {

acl_t acl = __acl_from_xattr(ext_acl_p, retval);//转换成本地结构的ACL数据

return acl;

} else if (retval == 0 || errno == ENOATTR || errno == ENODATA) {//没有ACL数据struct stat st;

if (stat(path_p, &st) != 0)//读取文件的属性数据

return NULL;

if (type == ACL_TYPE_DEFAULT) {//如果为缺省的ACL类型

/*只有目录有缺省的ACL类型*/

if (S_ISDIR(st.st_mode)) //如果是目录

return acl_init(0);//初始化为0个条目的ACL

else {//出错，给出错误号

errno = EACCES;

return NULL;

}

} else

return acl_from_mode(st.st_mode);//从文件的属性数据中提取授权信息，生成ACL

} else

return NULL;

}

3.3 文件系统检查ACL权限

文件系统的节点操作函数集结构含有操作许可函数指针permission，它指向具体文件系统的操作许可函数，用来检查文件或目录的操作权限。对于ext4文件系统来说，它是函数ext4_permission。

函数ext4_permission列出如下（在linux26/fs/ext4/acl.c中）：

int ext4_permission(struct inode *inode, int mask, struct nameidata *nd)

{

return generic_permission(inode, mask, ext4_check_acl);

}

函数generic_permission检查符合posix标准的文件系统的访问权限。参数inode为检查访问权限的节点，参数mask为检查的权限（值为MAY_READ、MAY_WRITE、MAY_EXEC，分别定义为1、2、4）。参数check_acl为检查符合posix标准的的ACL的回调函数，是可选的。

函数generic_permission检查一个文件的读、写、执行权限。对于ext4文件系统，它调用函数ext4_check_acl完成ACL权限检查。其列出如下（在linux26/fs/namei.c中）：

int generic_permission(struct inode *inode, int mask,

int (*check_acl)(struct inode *inode, int mask))

{

umode_t mode = inode->i_mode;//从节点中得到访问模式

if (current->fsuid == inode->i_uid)//如果当前进程的fsuid与节点的uid一致，用户为所有者

mode >>= 6;//右移6位，得到文件所有者的权限位

else {//非文件所有者

if (IS_POSIXACL(inode) && (mode & S_IRWXG) && check_acl) {//ACL模式

//对于ext4文件系统，check_acl指向函数ext4_check_acl

int error = check_acl(inode, mask);//检查ACL用户的权限位

if (error == -EACCES)

goto check_capabilities;

else if (error != -EAGAIN)

return error;

}

if (in_group_p(inode->i_gid))//检查当前进程的fsgid与节点gid是否相符

mode >>= 3;//得到同组的权限位

}

/*如果访问权限是否是读、写、执行，说明DAC检查OK，不需要能力检查*/

if (((mode & mask & (MAY_READ|MAY_WRITE|MAY_EXEC)) == mask))

return 0;

check_capabilities://能力检查

/*读/写表明总是可以覆盖写的*/

if (!(mask & MAY_EXEC) ||//mask表示需要检查的权限(inode->i_mode & S_IXUGO) || S_ISDIR(inode->i_mode))

if (capable(CAP_DAC_OVERRIDE))//有覆盖写的能力

return 0;

if (mask == MAY_READ || (S_ISDIR(inode->i_mode) && !(mask & MAY_WRITE))) if (capable(CAP_DAC_READ_SEARCH))//有读和搜索的能力

return 0;

return -EACCES;

}

不同文件系统的节点在硬盘中存储方式不一样，结构inode有一些不同的成员。因此，检查ACL需要调用不同文件系统的实现函数。ext4文件系统检查ACL的函数是ext4_check_acl，它从结构inode中读取ACL信息成员，检查是否有权限允许访问。

函数ext4_check_acl列出如下（在linux26/fs/ext4/acl.c中）：

static int

ext4_check_acl(struct inode *inode, int mask)

{

//从节点inode中读取acl，如果inode不在内存中，从硬盘中读取节点到内存中

struct posix_acl *acl = ext4_get_acl(inode, ACL_TYPE_ACCESS);

if (IS_ERR(acl))

return PTR_ERR(acl);

if (acl) {

int error = posix_acl_permission(inode, acl, mask);//检查acl是否允许访问

posix_acl_release(acl);//释放acl

return error;

}

return -EAGAIN;

质量管理体系文件

G L0121-2007 质量管理体系文件 安全生产和劳动保护制度 1、目的 为加强公司安全文明生产，确保广大员工的人身安全和公司财产安全，防止和杜绝事故的发生，特制定本管理制度。 2、适用范围 本管理制度适用于公司全体职员。 3、职责 3.1、经理是安全生产主要负责人： 3.2、生产供应部负责落实和执行本管理规定，有关部门予以配合： a)设备、伤亡事故的调查和处理。 b)协助综合办进行安全操作证的培训和考核。 c)协助综合办制定或修订本公司劳动保护用品的发放标准。 d)负责劳动用品的采购，保证劳动保护用品的质量并按国家和公司劳 动保护用品的有关规定发放劳动保护用品。 e)指导和教育从业人员在作业过程中，遵守本单位的安全生产规章制 度和操作规程，服从管理，按照使用规则正确佩带和使用劳动保护用品。 f)消防器材应按有关规定进行配置，并处于良好位置。 3.3综合办负责对本规定执行情况进行监查，对违规行为向其所属部门领 导提出处理意见： a)按照安全生产和劳动保护法律法规，制定或修订安全生产规程，并 督促有关部门切实执行。

b)定期或不定期组织安全生产检查，并就其不合格要进行处罚，同时 提出改进意见和跟踪验证。 c)遇有特别紧急的不安全情况或重大安全隐患时，有权指令停止生产 并立即向主管报告。 d)做好安全生产和劳动保护等有关法律法规的培训和宣传。 4、工作程序 4.1、培训 4.1.1新进公司员工在培训规程中，应包括安全操作规程。 4.1.2对从事电气、焊接、车辆驾驶等特殊工种人员，必须持国家统一颁 布的操作证上岗。 4.2安全生产 4.2.1生产设备要严格按照原设计、使用要求，留有足够的空间场地和必 要的安全防护措施，进行安装调试。 4.2.2各种设备和仪器运行，操作者应遵守操作规程进行操作，不得超负 荷运行，遇有不安全因素时，应立即停止并向负责人报告，公司严格按煤安标准要求组织生产。 4.2.3劳动场所布局要合理，使用部门要保持清洁、整齐；有毒、有害的 作业，必须有防护设施；导电设施不得裸露在外或损坏操作 4.2.4生产场所通道平坦、畅通，光源充足。 4.2.5有高温、低温、潮湿、雷电、静电等危险的劳动场所，必须采取相 应的有效防护措施。 4.2.6对放置易燃、易爆及化学物质的危险区域，应该有“严禁烟火”隔 离标志，并配备消防设施。 4.2.7生产场所必须配置必要的通风、照明、消防器材，保持适宜的温、 湿度和职业卫生安全。 4.2.8各级领导及员工应在防火、防盗、防水、易燃、电击等意外伤害几

安全管理制度体系文件汇编版

目录 规章制度的编制说明 (1) 一、安全规章制度的制定原则 (1) 二、安全规章制度的编制及管理 (1) 三、安全规章制度的文本及文字要求 (2) 四、其他 (3) 第一部分目标 (4) 一、安全生产目标管理制度 (4) 二、2019年度安全生产目标 (7) 三、年度安全生产目标分解 (9) 四、安全生产目标实施计划和考核办法 (10) 第二部分组织机构和职责 (18) 一、安全机构设置与安全管理人员配备的管理制度 (18) 二、安全生产领导小组 (19) 三、安全生产领导小组工作章程 (21) 四、安全管理机构 (25) 五、公司安全员任命通知 (27) 六、安全生产责任制的制定、沟通、培训、评审、修订及考核的管理制度 (29) 七、安全生产责任制 (35) 第三部分安全生产投入 (59) 一、安全生产投入保障制度 (59) 二、2019年安全生产投入计划 (62) 三、工伤保险管理制度 (63) 第四部分法律法规与安全管理制度 (73) 一、识别和获取适用的安全法律法规、标准及其它要求管理制度 (73) 二、安全管理制度及安全操作规程文件管理及修订制度 (78) 三、公司文件档案管理制度 (81) 四、领导现场带班制度 (92) 五、班组安全达标管理制度 (94)

六、风险评估和控制管理制度 (99) 七、消防安全管理制度 (109) 八、安全生产会议制度 (114) 第五部分教育培训 (117) 一、安全教育培训管理制度 (117) 二、年度安全教育培训计划 (122) 第六部分生产设备设施 (128) 一、建设项目安全“三同时”管理制度 (128) 二、设备设施安全管理制度 (132) 三、生产设备、设施验收管理制度 (137) 四、生产设施设备检修、维修和保养的安全管理制度 (139) 五、生产设施安全拆除和报废管理制度 (142) 六、电气设施安全管理制度 (145) 七、特种设备安全管理制度汇编 (151) 八、特种（设备）作业人员管理制度 (159) 第七部分作业安全 (163) 一、危险作业管理制度 (163) （一）交叉作业管理制度 (163) （二）受限空间作业安全管理制度 (171) （三）动火作业安全管理制度 (178) （四）大型吊装作业安全管理制度 (183) （五）高处作业管理制度 (190) （六）临时用电安全管理制度 (195) （七）有毒、有害作业安全管理制度 (199) （八）能源介质安全作业管理制度 (201) 二、警示标志和安全防护管理制度 (205) 三、变更管理制度 (208) 四、三违管理制度 (213) 五、危险作业风险分析及控制措施 (219) 第八部分隐患排查和治理 (225)

本质安全管理体系概念.

通用部分 1.危险源：危险源被定义为可能导致伤害或疾病、财产损失、工作环境破坏或这些情况组合的根源或状态。 3.危险源辨识：危险源辨识是认识危险源的存在并确定其特性的过程。 4.风险：风险是指某一特定危险情况发生的可能性何后果的组合。 5.风险评估：风险评估是指评估风险大小以及确定风险是否可容许的全过程。 6.风险预控：风险预控是指在危险源辨识和风险评估的基础上，预先采取措施消除或控制风险的过程。 7.不安全行为：不安全行为泛指可能产生风险或导致事故发生的行为。 8.不安全行为一般可分为狭义和广义两种。狭义的不安全行为主要是指可能直接导致事故发生的人员行为，而广义的不安全行为是指一切可能导致事故发生的人员直接和间接行为，在《煤矿安全风险预控管理体系规范》，不安全行为指的是广义的不安全行为。如煤矿从业人员“三违”行为。 9.煤矿安全风险预控管理体系基本原则：理念创新、领导作用、全员参与、过程方法、管理的系统方法、基于风险的管理方法、安全投入、持续改进。 10.事故致因理论是通过对大量典型事故致因的分析、统计和归纳提炼后，提出的事故发生机理和模型。 11、人的不安全行为和物的不安全状态是造成事故的主要原因。 12.AQ/T1093—2011《煤矿安全风险预控管理体系规范》包含8个部分、46个要素和若干具体指标。 13.煤矿安全风险预管理体系的特点是：以风险预控为核心、以人员不安全行为管理为重点、以生产系统安全要素管理为基础、以PDCA循环方法为运行模式、依靠科学的考核评价体制推动体系有效运行。 14.危险源辨识方法：常用的危险源辨识方法可分为经验对照分析和系统安全分析两大类。 15.风险评估的目的是队煤矿所有风险管理对象进行风险等级划分，从而确定风险管理的重点区域和项目，是为风险刮泥确定目标的过程。 16.根据系统的复杂程度，需根据行业特点以及其他因素进行确定。 17.全面的危险源辨识和风险评估应覆盖煤矿所辖区域和生产运营的全过程，包括人、机、环、管4个方面。 18.煤矿在危险源辨识和风险评估之前应对其范围给予确定，在通常情况下，煤矿至少应对所有区域、活动、设备、设施、材料物质、工艺流程、职业健康、环境因素、工具及器具、火灾危险场所等存在的危险源进行辨识和风险评估。

本质安全体系建设实施方案

内蒙古大唐国际锡林浩特矿业有限公司 本质安全管理体系建设实施方案 为贯彻落实国家“安全第一、预防为主、综合治理”的 方针，做好公司本质安全管理体系建设推进工作，使之与安 全质量标准化与“三讲一落实”活动有机融合，实现公司本 质安全，特制定此实施方案。 一．集中培训阶段：10 月11 日—10 月13 日 组织矿业公司相关工作人员进行本质安全管理体系集 中培训，培训的主要内容包括本质安全管理体系建设理念和 本质安全管理体系建设方法。 集中培训每天共分上午和下午两个单元。 培训地点、人员组织、会场管理由矿业公司本质安全管 理体系建设推进办公室负责。 二．机构建立阶段：10 月13 日 1.按《锡林浩特矿业公司本质安全管理体系建设实施方 案实施办法（试行）》确定各工作组名单。 2.成立本质安全管理体系建设推进办公室和风险管理 小组。 3.制定本质安全管理体系建设推进日程表。 三．本质安全管理体系构建阶段 1.危险源辨识与风险评价：10 月14 日—10 月 23 日 （1）危险源辨识：对公司内部所有可能导致事故发生的 危险源进行辨识、汇总。 辨识方式：首先将风险管理表和填表说明下发到各岗位 员工，各岗位员工对自己本岗位的工作任务进行梳理，然后 将各项任务进行工序分解，同时对每道工序的危险源进行辨

识；然后由每一种岗位的技术骨干对本岗位的危险源进行整 理、汇总，并组织本岗位工种员工进行讨论。成文后由各工 作小组进行审核，审核后报本质安全管理体系建设推进办公 室，由专家组审核，如符合要求，则定稿后下发至各风险管 理小组进行风险评价与分类工作，不符合要求则重新进行辨 识并完善。 （2）危险源风险评价与分类：各工作小组对辨识出的 危险源根据其带来的后果、危害程度进行风险评价，并进行 分类。 2.管理对象的提炼：10 月 24 日—10 月 25( 与危险源风 险评价与分类同步) 在综合分析辨识出危险源特征的基础上，归纳提炼管理 对象。 3.管理标准与管理措施的制定：10 月 26 日—11 月 10 日 针对人、机、环三种类型的管理对象提出相应的管理标 准和管理措施。 4.管理标准与管理措施的审核与完善：11 月 11 日—12 月 2 日 5.人员不安全行为管控体系建设、本质安全文化建设、 本质安全保障体系的核心制度建设：与1、2、3、4 同步进 行 对经常性出现的违章行为和风险管理小组辨识出的人 员不安全行为，按照其产生机理进行风险评价和分类。确定 人员不安全行为的管理措施、控制途径；对人员准入、培训、 行为规范、人员管理机制等配套方面制定一系列制度。 对保障本质安全管理体系建设的组织机构、管理制度、

工程质量管理体系文件

目录 第一章概述 (1) 第二章质量管理的标准 (1) 第三章质量管理的环节 (1) 第四章组织结构、质量安全岗位责任制 (2) 4.1 组织结构 (2) 4.2 项目管理部质量岗位职责 (2) 4.3 项目经理质量岗位职责 (2) 4.4技术负责人质量岗位职责 (2) 4.5 质检员岗位职责 (2) 4.6技术部、材料管理质量岗位职责 (3) 第五章质量活动实施和控制的方法 (3) 5.1 质量控制流程 (3) 5.2 质量控制方法 (3) 5.3 设计质量控制 (5) 5.4 文件资料质量控制 (5) 5.5 材料、设备采购的质量认证制度 (6) 5.6 采购物资供应运输质量控制制度 (6) 第六章施工过程的质量职能 (7) 6.1施工质量控制的基本方法 (7) 6.2 施工质量要点控制 (7) 6.3 工程质量管理制度 (8) 6.4 竣工验收阶段的质量控制 (8)

第一章概述 我公司严格按“ISO9001-2001质量管理体系”施工，以“IS09001—2001”要求为蓝本建立了质量管理体系，它是工程施工的质量保证，是实施质量管理和质量保证的纲领性和行动准则，适用于工程设计、施工、安装、调试交付使用、维修保养全过程的质量管理和质量控制。 编制依据 《中华人民共和国建筑法》； 《建设工程项目管理规范》GB/T50326-2001； 《建设工程质量管理办法》； 建设单位和相关部门提供的主要设计依据和要求； IS09001质量管理文件； 文件和资料控制程序等。 第二章质量管理的标准 按ISO9001-2001质量管理体系要求为蓝本建立了质量管理体系，确保工程安装质量符合设计规定要求；并针对设计、开发、生产、安装、服务过程制定质量措施，确保工程项目、产品质量满足合同规定要求。该质量体系将适用于工程实施的全过程。 质量方针： 精心负责认真，保证方案质量；引进先进系统，保证产品质量； 科学安全严谨，保证施工质量；积极快速完善，保证服务质量。 质量目标： 方案一次通过率100%；验货一次合格率100%； 工程一次验收率100%；售后服务满意率100%。 第三章质量管理的环节 严格执行ISO9001系统工程质量体系，并在整个施工过程中，切实抓好以下环节： 1、施工图的规范化和制图的质量标准 2、管线施工的质量检查和监督 3、配线规格的审查和质量要求

三级等保,安全管理制度,信息安全管理体系文件编写规范

* 主办部门：系统运维部 执笔人： 审核人: XXXXX 信息安全管理体系文件编写规范 XXX-XXX-XX-03001 2014年3月17日

[本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属XXXXX所有，受 到有关产权及版权法保护。任何个人、机构未经XXXX X勺书面授权许可，不得以任何方式复制或引用本文件的任何片断。] 文件版本信息 文件版本信息说明 记录本文件提交时当前有效的版本控制信息，当前版本文件有效期将在新版本文档生效时自动结束。文件版本小于时，表示该版本文件为草案，仅可作为参照资料之目的。 阅送范围 内部发送部门：综合部、系统运维部、技术开发部。

总则 细则 体系文件的格式 附则 第一早 第二早 第三章 第四章 附件.. 错误!未定义书签 错误!未定义书签 错误!未定义书签 错误!未定义书签 错误!未定义书签

第一章总则 第一条为规范XXXX X言息安全管理体系文件的编写和标识，确保上清所信息安全管理体系文件在文件格式和内容形式上的一致性。根据《金融行业信息系统信息安全等级保护实施指引》 （JR/T 0071 —2012），结合XXXXX实际，制定本规范。 第二条本规范适用于XXXXX涉及信息安全管理体系文件的编写与标识的相关活动。 第三条网络与信息安全工作领导小组办公室负责组织XXXX X言息安全管理体系各级文件的编写和修订；负责XXXX X 言 息安全管理体系文件编码的分配和统一管理。 第二章细则 第四条体系文件类型包括： （一）管理策略：是指对信息系统安全运行提出策略性要求的文件，是信息安全管理体系的一级文件。 （二）管理规定：是指根据信息安全管理体系的管理策略要求提出详细规定的文件，是信息安全管理体系的二级文件。 （三）管理规范、操作手册：是指根据信息安全管理体系的管理规定提出具体的操作细则的文件、或对某一特定情况进行描述、解释、处置等的文件，是信息安全管理体系的三级文件。 （四）运行记录、表单、工单：是指对信息安全管理体系运行时产生的痕迹、轨迹进行记录的文件，是信息安全管理体系的四级文

本质安全管理体系管理办法标准范本

管理制度编号：LX-FS-A70927 本质安全管理体系管理办法标准范 本 In The Daily Work Environment, The Operation Standards Are Restricted, And Relevant Personnel Are Required To Abide By The Corresponding Procedures And Codes Of Conduct, So That The Overall Behavior Can Reach The Specified Standards 编写：_________________________ 审批：_________________________ 时间：________年_____月_____日 A4打印/ 新修订/ 完整/ 内容可编辑

本质安全管理体系管理办法标准范 本 使用说明：本管理制度资料适用于日常工作环境中对既定操作标准、规范进行约束，并要求相关人员共同遵守对应的办事规程与行动准则，使整体行为或活动达到或超越规定的标准。资料内容可按真实状况进行条款调整，套用时请仔细阅读。 1. 定期组织员工学习本质安全管理体系文件，要有学习记录。 2. 定期组织员工员工进行危险源辨识，提高员工的危险源辨识水平。 3. 定期组织员工进行本质安全管理体系考试。 4. 积极组织员工参加矿及公司组织的本安体系知识竞赛。 5. 编制各个岗位的危险源辨识卡，下发给员工，要求下井携带，便于员工能够随时学习。 6. 对于员工回答危险源辨识情况，班组考核上

给与奖罚。 7. 每个月月底严格按照《本质安全管理体系考核标准》整理内业资料，随时迎接本质安全管理体系检查。 8. 迎接好集团公司的季度本质安全管理体系检查。 请在该处输入组织/单位名称 Please Enter The Name Of Organization / Organization Here

安全管理体系文件

安全生产管理体系 一、安全生产方针、原则、目标 1、安全生产方针：“安全第一、预防为主” 2、安全生产原则：安全生产管理应遵守以下五项原则 1)“源头治理、预防为主、短板管理、重点控制”的原则； 2)“谁承包施工，谁负责安全；谁主管安全谁必须管好安全”的原则； 3)“从严治理、奖罚分明”的原则； 4)“安全工作一票否决权”的原则； 5)“施工作业开展安全标准化管理”的原则。 3、安全生产管理目标必须实现“五无”： 1)无因公死亡事故，年重伤率不大于万分之五； 2)无设备安装装修工程重伤以上（含重伤）事故； 3)无触电、物体打击、高空坠落等事故； 4)无重大机电设备事故、重大交通事故及火灾事故； 5)无10人以上集体中毒事故。 二、安全管理领导小组及组织机构 为实现安全控制目标，我项目部将全面贯彻公司及业主在安全管理工作的总体要求，通过完善制度，夯实基础，抓好培训，加强检查，落实各项预控措施，全面提高安全工作管理水平，确保安全工作目标的实现。 一）安全管理领导小组 组长： 常务副组长： 副组长： 组员： 二）工作机构 安全管理小组办公室设在安质环保部，由安质环保部负责安全管理日常工作。

技术员 安全措施制定 三）安全管理组织机构保证体系图如下： 三、安全生产责任制 1、项目经理安全职责 1.1 项目经理是该项目安全生产的第一责任人，对施工安全生产工作全面负责，要“为官一任，保一方平安”。 1.2 建立健全本项目安全生产责任制。 1.3 组织制定本项目安全生产规章制度和操作规程；保证本项目所必须的安全生产资金投入，不断改善劳动条件。 1.4 领导并参加该项目重点工程的安全检查，并考核同级副职和所属单位正职安全生产责任落实情况。 项目经理、常务副经理 安全总负责 设备安装副经理 安全日常管理 装修装饰副经理 安全日常管理 项目总工 安全技术管理 安质环保部 监督检查 物资设备部 安全措施配备 工程管理部 安全措施制定 综合部 协调组织 财务部 安全资金落实 设备安装架子队 安全措施实施 装修装饰架子队 安全措施实施 安全员 现场安全检查 材料员 提供合格设施 班组长 安全生产管理 班 组 安全措施具体实施

安全文化体系文件范文

安全文化体系文件

安全文化体系 前言 安全文化，是存在于组织和个人中的安全意识、安全态度、安全责任、安全知识、安全方法、安全行为方式等的总和。安全文化具有更新观念，传播知识，规范行为等功能。安全文化建设是全体员工对安全工作形成的一种集体共识，是企业安全形象的重要标志，是凝聚员工和树立企业安全精神的强大动力，是实现安全长治久安的坚强保障。培育和建设安全文化是文化管理和安全管理工作的重要内容。 东枫煤矿安全文化建设以科学发展观为统领，以人本管理为核心，以维护职工生命权益为根本目的，以建设本质安全和谐矿井为目标，以构建安全生产长效机制为出发点，以落实各级安全生产主体责任、规范员工安全行为为切入点，将行之有效的管理制度纳入文化管理模式，推动矿井安全文化管理向全员、全方位、全过程延伸。立足于建设一个具有东枫煤矿特色的安全文化，把东枫煤矿建设成为本质安全型矿井。

目录 第一部分安全理念 ....................................... 错误!未定义书签。 一、安全愿景 ................................................错误!未定义书签。 二、安全宗旨 ................................................错误!未定义书签。 三、安全目标 ................................................错误!未定义书签。 四、安全核心理念 ........................................错误!未定义书签。 五、安全管理理念 ........................................错误!未定义书签。 六、安全道德理念 ........................................错误!未定义书签。 七、安全作风理念 ........................................错误!未定义书签。 八、安全质量理念 ........................................错误!未定义书签。 九、安全方针 ................................................错误!未定义书签。 十、安全誓词 ................................................错误!未定义书签。第二部分安全行为规范 (10) 一、安全行为准则 (10) 二、企业安全行为规范 ................................错误!未定义书签。 三、员工安全行为规范 ................................错误!未定义书签。 四、安全荣辱观 ............................................错误!未定义书签。第三部分安全管理 ........................................ 错误!未定义书签。 一、安全管理的目的 ....................................错误!未定义书签。 二、安全管理的意识 ....................................错误!未定义书签。 三、安全管理责任 ........................................错误!未定义书签。

安全质量管理体系文件样本

安全质量管理体系文件

安全质量管理体系文件编制：刘谊 审核：卢声权 审批：卢泽友 日期： 2017年5月31日

项目部安全生产管理体系 一、安全生产方针、原则、目标 1、安全生产方针：“安全第一、预防为主” 2、安全生产原则：安全生产管理应遵守以下五项原则 “源头治理、预防为主、短板管理、重点控制”的原则； “从严治理、奖罚分明”的原则； “安全工作一票否决权”的原则； “施工作业开展安全标准化管理”的原则。 3、安全生产管理目标必须实现“五无”： 无因公死亡事故，年重伤率不大于万分之一； 无设备安装装修工程重伤以上（含重伤）事故； 无触电、物体打击、高空坠落等事故； 无重大机电设备事故、重大交通事故及火灾事故； 无10人以上集体中毒事故。 二、安全管理领导小组及组织机构 为实现安全控制目标，我项目部将全面贯彻公司及业主在安全管理工作的总体要求，通过完善制度，夯实基础，抓好培训，加强检查，落实各项预控措施，全面提高安全工作管理水平，确保安全工作目标的实现。 一）安全管理领导小组 组长： 副组长： 组员： （按招标文件要求，不得透露成员名单，名单签订合同时添加）

技术员 二）工作机构 安全管理小组办公室设在安质环保部，由安质环保部负责安全管理日常工作。 三）安全管理组织机构保证体系图如下： 三、安全生产责任制 项目经理 设备安装装修装饰项目总工 安质环 物资设工程管综合部 财务部 设备安装装修装饰安全员 材料员 班组长 班 组

1、项目经理安全职责 项目经理是该项目安全生产的第一责任人，对施工安全生产工作全面负责，要“为官一任，保一方平安”。 建立健全本项目安全生产责任制。 组织制定本项目安全生产规章制度和操作规程；保证本项目所必须的安全生产资金投入，不断改善劳动条件。 领导并参加该项目重点工程的安全检查，并考核同级副职和所属单位正职安全生产责任落实情况。 督促、检查本单位的安全生产工作，及时消除生产安全事故隐患。 组织制定并实施本项目的生产安全事故应急救援预案。 2、总工程师安全职责： 项目总工程师在技术上对安全生产工作全面负责。 加强项目安全技术管理，积极采用安全先进技术和安全防护装备，组织研究落实重大事故隐患整改方案。 审查公司安全技术规程、操作规程和安全技术项目时，保证技术上切实可行。 参加重大事故调查，组织技术力量对事故进行技术原因分析、鉴定，并提出技术上的改进措施。 负责组织制定生产岗位的尘、毒等有害物质的治理方案、规划，使之达到国家卫生标准。 3、工程部长安全职责： 在施工技术、计划统计工作中，具体贯彻执行国家和上级有关安全生产和劳动保护的方针、政策、规程、规则、规定。

生物安全管理体系文件

实验室生物安全管理制度 目的：确保实验人员生物安全，环境不受污染，样品质量不受影响特制定该管理制度。 一、人员准入条件 1、实验室人员、辅助人员和外来人员必须具备相应的专业技能、受过相关的实验室生物安全培训、了解实验室潜在的生物危害和特殊要求，经负责人审批后方可进入相应的实验室工作。 2、未成年人、孕妇和有免疫缺陷的人员不得进入实验室，处于易受感染状态或感染后果严重的额人员也不得进入实验室。 3、实验室人员必须在身体状况良好、穿戴好防护服（白大衣）的情况下，方能进入实验室的污染区域工作。但当身体出现较大的开放性损伤、处于较重的疾病感染状态或呈重度疲劳状态时不得进入。 4、外来参观人员需经科室负责人同意并在相关人员陪同下方可进入实验室。 二、生物安全日常管理： (一)生物安全行为规范 1．进入实验室前要摘除首饰，修剪指甲，以免刺破手套。长发应束在脑后，禁止在实验室内穿露脚趾的鞋。不得佩戴有可能被卷入机器或可随人传染性物质的饰物。 2．在实验室里工作时，要始终穿着实验服，实验室外禁止穿防护服（白大衣）。大白衣应定期清洗、更换，清洗时应使用具有杀菌消毒的洗液或其他相应方法。 3、操作感染性物质、腐蚀性或毒性物质时须在通风橱中进行，并佩戴相关的安全防护用品，如安全镜、面罩或护目镜。皮肤受损时应以防水敷料覆盖。 4、当有必要保护眼睛和面部以防实验对象喷溅、或紫外线辐射时，必须要配戴护目镜，面罩（带护目镜的面罩）或其它防护用品。 5、实验室工作区不允许吃、喝、化妆和操作隐形眼镜，禁止在实验室工作区内的任何地方贮存人用食品及饮料。

6、实验室防护服不应和日常服饰放在同一柜子。个人物品、服装和化妆品不应放在有规定禁放的和可能发生污染的区域。 7、不得涉及呼吸道传播疾病样品室，要佩戴符合要求的防护口罩。 (二)操作准则 1、所有样本、培养物均可能有传染性，操作时均应带手套。在认为手套已被污染时应脱掉手套，马上洗净双手，再换一双新手套。 2、当实验过程可能涉及到直接或意外接触到血液、有传染性的材料或被感染的动物时，必须要戴上合适的手套，脱手套后必须洗手。在实际或可能接触了血液、体液或其他污染材料后，即使戴有手套也应立即洗手。 3、不得用戴手套的手触摸自己的眼、鼻子或其他暴露的黏膜或皮肤。不得带手套离开实验室或在实验室来回走动。 4、严格禁止用嘴操作实验器材，包括吸液、吹酒精灯等。实验材料禁止放入嘴里。禁止舔标签。 5、尽量用塑料制品代替玻璃制品，不使用破裂或有缺口的玻璃器具。破损的玻璃不能直接用手直接操作，必须用机械方法清除，如刷子、夹子、镊子等。破裂的玻璃器具和比例碎片应丢弃在有专门标记的、单独的，不易刺破的容器里。 6、所有的实验步骤都应尽可能使气溶胶或气雾的形成控制在最小程度。任何使形成气溶胶的危险性上升的操作都必须在生物安全柜里进行。有害气溶胶不得直接排放。 7、应尽可能减少使用利器和尽量使用替代品。包括针头、玻璃、一次性手术刀在内的利器，应在使用后立即放在耐扎容器中。尖利物容器应在内容物达到三分之二前置换。 8、所有溅出事件、意外事故和明显或潜在的暴露于感染性材料，都必须向实验室负责人报告。此类事故的书面材料应存档。 9、所有弃置的实验室生物样本、培养物和被污染的废弃物应被假定有传染性，在从实验室中取走之前，应以安全方式处理和处置，使其达到生物学安全。 10、实验室应保持整洁、干净，当潜在的危险物溅出或一天的工作结束后，所有操作台面、离心机、加样枪、试管架必须擦拭、消毒。 11、每日工作完毕，最后一个离开实验室的人员需关好水、电、门、窗。 (三)监督与检查

加强HSE体系建设是实现本质安全的保障

加强H S E体系建设是实现本质安全的保障 集团公司文件内部编码：（TTT-UUTT-MMYB-URTTY-ITTLTY-

加强H S E体系建设是实现本质安全的保障HSE管理体系在中石油企业运行多年，实践证明，HSE管理体系是一套完整先进、行之有效的科学管理方法，为石油企业的腾飞发展建树了不可磨灭的功勋，尤其对石油企业实现本职安全起到了十分重要的保证： 一、人是实现企业本质安全的关键 要在每位员工的心中驻足HSE管理体系，必须坚持以人为本的科学发展观，把HSE体系融于全体员工，融于实际工作。企业HSE管理的核心是就是以人为本，关爱人、保护人，最大限度的满足人的生命安全、身心健康和防护需要才是建设HSE体系的根本目的。由于人行为的不确定性，可以说人是生产工作中最不安全的因素，因此要保证企业安全生产，必须保证让从事生产工作的一线员工具备“我要安全”的思想，促使员工实现从“要我安全”到“我要安全”的思想转变，在平时工作中养成“安全”的习惯，下大力气帮助促成员工在生产工作中养成一种“我要安全”的习惯，习惯的力量是可怕的，一种习惯一旦养成就很难改变，而这种习惯的养成也需要不断地去敲打、去培育，当然还要靠有制度去约束。再进一步，只有“我要安全”的思想还不够，还要有“我能安全”的行为，就是说必须达到一定的安全技能，实现“我会安全”才是目的。还要善于识别自己身边和所在岗位的风险，明确其危害，如

果一名员工对他所从事工作的危险点一无所知，即使他想要安全，恐怕也很难做到。所以，既要使员工真正树立“我要安全”的思想，还要通过培训使员工在实际工作中具备“我能安全”的技能——我会安全。 二、设备是实现企业本质安全的保障 必须要以HSE管理体系为指导，加强设备的管理，实现本质安全。HSE管理有着极其深刻的内涵，设备的质量好与坏，设备是否安全，也着实反映了企业的安全意识和企业员工的安全素质。生产设备或生产系统本身具有安全性才是本质安全的初衷，就是说即使在误操作或设备发生故障的情况下也不会造成事故，这点在我们输油切换流程或电气操作上体现的尤为明显，由于人行为的不确定性，不可能绝对避免发生误操作，而设备在安全防护和闭锁装置完善的情况下，就可以中断所发生的误操作，或将误操作造成的后果降至最低，这是企业能否实现本质安全的一个重要保障。设备的质量和安全防护功能是保证企业本质安全的一道坚实屏障，所以需要我们用HSE这种认真的科学管理方法，踏踏实实地做好设备的检查测试、维护保养工作，积极对设备进行合理的改造，使设备经常处于完好状态，在各种情况下都能发挥防护功能的作用，同时鼓励和重视员工提出的各项合理化建议。在我们中石油企业每年开展的合理化建议活动，大大调动了员工的积极性，解决了生产实际出现的诸多问题，创建了安全生产的大好局面。

安全质量管理体系文件范文

安全质量管理体系 文件

安全质量管理体系文件编制：刘谊 审核：卢声权 审批：卢泽友 日期： 5月31日

项目部安全生产管理体系 一、安全生产方针、原则、目标 1、安全生产方针：“安全第一、预防为主” 2、安全生产原则：安全生产管理应遵守以下五项原则 “源头治理、预防为主、短板管理、重点控制”的原则； “从严治理、奖罚分明”的原则； “安全工作一票否决权”的原则； “施工作业开展安全标准化管理”的原则。 3、安全生产管理目标必须实现“五无”： 无因公死亡事故，年重伤率不大于万分之一； 无设备安装装修工程重伤以上（含重伤）事故； 无触电、物体打击、高空坠落等事故； 无重大机电设备事故、重大交通事故及火灾事故； 无10人以上集体中毒事故。 二、安全管理领导小组及组织机构 为实现安全控制目标，我项目部将全面贯彻公司及业主在安全管理工作的总体要求，经过完善制度，夯实基础，抓好培训，加强检查，落实各项预控措施，全面提高安全工作管理水平，确保安全工作目标的实现。

一）安全管理领导小组 组长： 副组长： 组员： （按招标文件要求，不得透露成员名单，名单签订合同时添加） 二）工作机构 安全管理小组办公室设在安质环保部，由安质环保部负责安全管理日常工作。 三）安全管理组织机构保证体系图如下：

三、安全生产责任制 1 、项目经理安全职责 1.1 项目经理是该项目安全生产的第一责任人，对施工安全生产工作全面负责，要“为官一任，保一方平安”。 1.2 建立健全本项目安全生产责任制。 1.3 组织制定本项目安全生产规章制度和操作规程；保证本项目所必须的安全生产资金投入，不断改进劳动条件。 1.4 领导并参加该项目重点工程的安全检查，并考核同级副职和所属单位正职安全生产责任落实情况。 1.5 督促、检查本单位的安全生产工作，及时消除生产安全事故隐患。 1.6 组织制定并实施本项目的生产安全事故应急救援预案。 2、总工程师安全职责： 2.1 项目总工程师在技术上对安全生产工作全面负责。

实验室安全管理体系

实验室安全管理体系 建设大纲 一、安全管理手册 二、相关程序文件 三、各种说明及操作规程（SOP文件） 四、第三层文件（有关作业文件和记录文件） 广州市安杰生物技术有限公司

一、安全管理手册 说明：对实验室生物安全管理体系管理核心及其相互关系的描述，反映组织整个实验室生物安全管 理体系的总体框架；是对组织的实验室生物安全方针、重大危害因素以及安全目标、安全计划的描述，展示组织在实验室生物安全管理上的原则、总的目标和管理上的重点；明确组织各个不同部门和岗位之间的责任和权利，为体系的运行提供应有的组织保证；提供查询相关文件的途径。 其内容通常包括：①安全方针、安全目标和安全计划； ②实验室生物安全体系管理、运行、内部评审及评审工作的岗位职责、权限和相互关系 ③有关程序文件的说明和查询途径； ④关于安全管理手册的评审、修改和控制规定。 1 ?实验室安全管理方针 至少应包括三个基本承诺：①承诺持续改进； ②承诺遵守实验室生物安全法律法规及其它要求； ③承诺预防实验室事故、保护实验人员安全健康。 实验室生物安全方针应指明实现上述承诺的途径，如向全体实验人员传达，以文件化的方式予以发布 或公布，可为公众所获取，并接受监督。 2.实验室安全管理目标 考虑因素：组织实验室生物安全方针；法律法规及其他要求；重大风险；技术可行性；运行要求及相关方的观点等。 目标应设参照基准和参数，可进行检测、评估，能体现持续改进的思想，并符合方针的要求（目标可 以是行为绩效改进型，如提高设备安全防护率达到100%;也可以是管理绩效改进型，如安全达标率 100% ）。 3 ?实验室安全管理计划 实验室生物安全计划是实现安全目标的行动方案，是组织对实验室生物安全承诺的具体化，其制定和 执行市体系成功的关键。 其中包括（但不限于）： 3.1实验室年度工作安排的说明和介绍 3.2安全和健康管理目标 3.3风险评估计划 3.4演习计划（泄漏处理、人员意外伤害、设施设备失效、消防、应急预案等） 3.5程序文件与操作规程的制定与定期评审计划 3.6人员教育、培训及能力评估计划 3.7监督及安全检查计划（包括核查表） J J

公司本质安全型企业建设实施计划方案

本质安全型企业建设实施案 按照中国华电集团公司《关于推进本质安全型企业建设工作指导意见（2017年-2020年）》和《2017年本质安全型企业建设实施案》以及《公司本质安全型企业建设实施案》有关要求，特制订本公司实施案。 一、指导思想 全面贯彻落实党中央、国务院安全生产决策部署，秉承安全发展理念，遵循安全客观规律，坚持“安全第一、预防为主、综合治理”针，坚守红线意识和底线思维，坚持问题导向，深化源头防、狠抓系统治理，着力完善体制机制，着力健全责任体系，着力加强制度建设，着力强化基础保障，构建科学先进的本质安全管理体系，大力提升整体安全生产水平，全面落实安全生产各项措施，促进安全生产持续好转，实现本质安全管理目标，为全面建成区域公司一流企业创造良好稳定的安全生产环境。 二、工作目标 一是建立公司本质安全型企业管理体系、标准制度，按照集团公司《本质安全型企业星级查评标准》，2017年完成公司各部门本质安全型企业星级试查评工作。 二是全面提升作业人员安全文明素质，达到“人员无违章、设备无缺陷、管理无漏洞、环境无隐患”的“人机环管”和谐统一的本质安全状态。 三是坚持问题导向，补强短板，弥补漏洞，消除设备重大缺

陷、环境设施隐患，全面完成年度重点工作，管控水平得到明显提升，确保年实现“零违章、零缺陷、‘四不放过’零突破”安全生产目标。 三、成立组织机构 （一）领导小组 组长： 副组长： 成员： 职责：建立创建公司本质安全型企业体系、完善奖惩机制，协调解决创建本质安全型企业中的重大问题，全面负责公司本质安全型企业创建工作。 （二）工作小组 组长： 副组长： 职责：工作小组挂靠在公司安监部，具体负责公司本质安全型企业创建工作和日常管理工作。 1. 负责指导公司各部门成立相应组织机构，按照上级公司有关要求，组织开展本质安全型企业创建活动； 2. 负责研究制定公司本质安全型企业案、制度、奖惩规定的起草修编和有关重大措施的建议； 3. 负责监督协调解决公司各专业组在本质安全型企业创建工作中存在的具体问题； 4. 向公司领导小组提出对各部门、人员的奖惩意见。

质量安全管理体系程序文件

**食品 编号**/CX—2011 质量安全管理体系 程序文件 发放编号：A02 持有部门（人）：品控部 受控状态：□受控 2011年11月20日发布 2011 年11月20日实施

**食品 质量安全管理体系程序文件 批准颁布令 本质量安全管理体系程序文件是依据公司《食品安全质量管理手册》编制的，满足和符合GB/T19001-2000《质量管理体系——要求》和GB/T22000-2006《食品安全管理体系——食物链中各类组织的要求》的标准。它是贯彻安全质量方针，实现质量目标，满足质量安全体系要求的指导性文件，现予以批准发布。 要求公司全体员工必须严格按本程序认真贯彻执行，以确保我公司质量安全管理体系持续有效运行。

管理代表者： 20 11 年11 月 20 日 程序文件目录

1 目的 对现行文件进行控制，确保对质量管理体系运行起重要作用的各个厂所均能得到现行的有效文件。 2 围 本程序适用于本公司与质量体系的有关条件的控制，包括适当围的外来文件。 3 职责 3.1公司办公室是本程序的归口管理部门，负责质量管理体系的控制与管理。 3.2 生产技术部负责对作业指导书及三大规程的管理。 3.3 各部门负责各自所用文件的控制和管理。 4 程序 4.1文件的分类

4.1.1按质量管理体系文件分为：质量手册；程序文件；作业文件、规程和标准、规章制度、记录表格等。 4.1.2按受控情况分为：受控文件和非受控文件。 4.1.3按文件来源分为：部文件、外部文件。 4.2文件的编制和批准 a）质量手册由公司办公室组织编写，管理者代表审核，总经理批准；b）程序文件由主管部门组织编写，管理者代表批准； c）作业指导书、规程由生产技术部门编写，部门负责人审核，生产副总经理批准； d）部门工作中形成的文件有部门负责人审核，主管副总经理批准。 4.3文件的编号 所有文件在发放前均应按以下编号方法进行编号： 4.4件的发放和接收 质量安全管理体系文件由公司办公室发放，发放前确定文件的发放围和份数，发放时填写“文件发放记录、回收记录”，其容包括：文件名称、

全本优秀小说推荐

书毒 书，本是精神食粮，之所以称之为毒，实是所读之书并非孔孟、诸子之言，更非外文经典名著。我所读之书多网络小说，多属虚幻架空，又无实质意义文章，读来仅仅为一乐，打发浪费青春时光。然而，此类小说却似有股魔力，可以令人沉醉其中，忘乎所以，直至不知今夕何夕，也许这就是所谓的逃避现实吧。大学之时开始了这段不归之路，日夜苦读，浪费了大学时光，损害了一双眼睛，令我是悔恨交加，却又对它无法割舍，这不是毒又是什么？！前车之鉴，犹在眼前，后世来者，谨之、慎之！ 不过，话又说回来，网络小说也并非个个不堪，其中也有少数作品是值得令人称赞道好的。现在就将脑海中还存在深刻印象的几部小说评论评论，以供大家参考！ 1、《诛仙》。第一个就评诛仙，并不是说它就是最好的一个，只是它是我看的第一部网络小说。偏巧，作者文笔、故事情节俱佳，将我带入了这个罪恶深渊，罪魁祸首啊！说实话，在我看过的同类题材的小说中，诛仙确实算不上是最好的，但作者的文笔、情节的安排、情感的描写以及修真的设定都甚是不错。行文下来，令我最为印象深刻的就是作者对文中主人公间的情感描述，如此之细腻、到位，而又如此令人揪心耐奈。整部小说，我仅读了一遍，可关于主人公间的感情描写却不知看了多少遍，而每一遍都令我唏嘘不已、鼻子发酸。诗文讲究起承转合，小说也同样，可是令我费解的是前期工作做得如此之完善，结尾却是草草收场，大有意犹未尽之意，令人如鲠在喉，不吐不快，难受至极，不知萧鼎是何想法。除了结尾的败笔令我大失所望外，文中更有甚多谜团、包袱未能解开——周一仙究竟是何许人物，鬼王宗与狐族的关系，焚香谷有何阴谋，万剑一、普智与鬼先生究竟是何关系，不知是萧鼎想留有余念，再续前缘，还是忘了填坑。还有就是，奠定了全文基调的“天地不仁，以万物为刍狗”，究竟在文中如何体现的，我现在也没想明白。 2、《道缘儒仙》。这是我的第二本网络小说，可惜不是在网上看的，而是在学校图书馆看完的。唉，真是可惜了我们学校的图书馆啦！怎么说呢，这部小说就是一部完完全全的修炼升级小说，只是切入点不同而已。小说以儒家思想为基，从文章开始，便开始了一点点的修炼、打怪、升级……因为本人酷爱中国古代的神话传说、神仙法器、阵法图列等玄之又玄的东西，所以看得是爱不释手。众所周知，中国道家、佛家支系庞大繁杂，各种典籍中所描述体系也不尽相同，姑且不论是否可以服众，鬼雨却能给出了一套自己却又能自圆其说的仙佛体系，委实不易。整个文章构架甚是庞大，所述道、佛、儒各家典故更是比比皆是、信手拈来。作者文笔堪称一流，当然了，小说所涉及人物、仙佛、鬼怪太多，所以在人物刻画上就有些力所不及了，但总体来说，也实是一部难得的修真类佳作。 3、《回到明朝当王爷》。月关的书，也是我读的第一本关于今人穿越的书，从此爱上了这种穿越。有句话叫，“是不是好鸡蛋，吃了第一口就知道了”，这本书就是这种书。当我看了第一章的时候，就知道了，越往下越是让我沉迷。这部书不像其它穿越文，男主一出就浑身王八之气，女子见了疯迷，男儿见了拜倒，男主本身更是无敌的存在。这部书却是男主一步步走上权力的巅峰，一点点与女主们积累感情，自始至终也就是一个身体健康的文士，依靠自己超前的思维意识，让历史一点点偏离原来的轨道。在这里，我看到了坚贞不渝的爱情，舍生忘死的义气，忍辱负重的忠贞，能屈能伸的智勇。 4、《昆仑前传》《昆仑》《沧海》《灵飞经》。这四部书均是凤歌的作品，同属