Cada opción de montaje tiene un propósito

Una ruta conocida puede entrar en un montaje con reglas diferentes.

Cada restricción tiene un significado

Un montaje de solo lectura limita escrituras por ese montaje. Noexec restringe la ejecución directa; nosuid suprime los efectos de set-ID y capacidades de archivos ejecutables; nodev impide interpretar archivos especiales de dispositivo. Estas opciones no determinan si un documento es fiable.

Revisa el montaje efectivo utilizado para la operación. Otro montaje anidado puede tener restricciones distintas. Una política basada en el nombre del directorio queda incompleta si ignora esos límites.

Registro proporcionado: el archivo comunitario

El proceso ficticio tiene aprobado leer registros publicados y escribir documentos nuevos únicamente en importaciones. La revisión actual indica:

/archive: solo lectura, noexec, nosuid, nodev.
/archive/imports: montaje separado escribible, noexec, nosuid, nodev.
Permisos: permiten leer registros y escribir importaciones.
Responsable: exige validar documentos antes de publicarlos.

Supón que son los montajes efectivos en la propia vista del proceso. No hay rutas alternativas ni restricciones adicionales que afecten a estas operaciones. Se limita escribir por el montaje del archivo; el montaje separado de importaciones permite las escrituras aprobadas.

Evita una afirmación excesiva

Escribe dos filas de política, una por montaje. La primera debe describir los registros publicados protegidos; la segunda, el área de recepción deliberadamente escribible. Declarar inmutable todo el árbol de directorios contradice el registro proporcionado.

Conserva como requisitos separados la validación de documentos y la autorización de lectores. Las opciones no aprueban archivos ni deciden quién puede ver su contenido. Cuando cambien los montajes, revisa los límites previstos en vez de confiar en la etiqueta anterior.