Por que o ArchLinux mantém alguns usuários / grupos após a desinstalação do pacote?

Percebi que depois de desinstalar o postgresqlpacote no ArchLinux, o postgresusuário e o grupo não são removidos automaticamente. O mesmo vale para alguns outros pacotes. Investigando isso ainda mais, encontrei esta página , que afirma:

Os pacotes listados aqui usam userdel/ groupdelpara remover o usuário que eles criaram. Eles nunca devem ser removidos automaticamente, pois representam um risco de segurança se algum arquivo for deixado para trás com essa propriedade.

Gostaria de saber por que deixar arquivos com essa propriedade representa um risco à segurança?

Este é um risco de segurança porque a propriedade do arquivo no FS é armazenada não pelo nome simbólico, mas pelo UID e GID. Se um usuário for removido e os arquivos permanecerem de propriedade desse usuário, eles se tornarão inacessíveis sob a permissão do proprietário. No entanto, se um usuário diferente for criado posteriormente e tiver o mesmo UID, esse usuário ganhará a propriedade dos arquivos. Isso é potencialmente um risco de segurança devido às várias maneiras pelas quais a propriedade do arquivo é usada como um mecanismo de segurança; a forma mais simples é que onde informações confidenciais (por exemplo, chaves SSH id_rsae assim por diante, informações de autenticação wi-fi wpa_supplicant.conf) podem vazar para o novo usuário.