ubuntu无人值守更新需精准控制：只装安全补丁、禁用内核及高风险包、使用同步-security源的镜像、启用周期任务并验证日志。核心是可控而非全自动。
Ubuntu 的无人值守更新不是“开个开关就完事”，而是要精准控制只装安全补丁、不碰内核、不混入功能更新，并确保每一步可查、可停、可回溯。核心不在“自动”，而在“可控”。
只拉取和安装安全补丁
Ubuntu 将安全更新与常规更新物理隔离：安全补丁发布在 codename-security 源（如 jammy-security），而功能更新走 -updates 源。无人值守升级默认只认前者，但配置错误就会越界。
- 检查 /etc/apt/apt.conf.d/50unattended-upgrades，确认 Allowed-Origins 中仅保留安全源行，例如：
Unattended-Upgrade::Allowed-Origins { "${distro_id}:${distro_codename}-security"; }; - 务必注释掉或删除类似
"${distro_id}:${distro_codename}-updates"的行，否则会把新版本软件也自动装上 - 运行
lsb_release -sc -i核对系统代号（如 jammy）和发行版 ID（Ubuntu），避免因拼写错误导致源失效 - 执行
sudo apt update && apt list --upgradable | grep security，确认有安全包可升，再继续后续操作
阻止内核与高风险包自动升级
内核更新虽含安全修复，但极易引发 NVIDIA 驱动崩溃、Wi-Fi 模块失灵、RAID 控制器异常等问题。无人值守升级默认不装新内核，但若启用了 ESM 或误配 -updates 源，仍可能触发。
- 在 /etc/apt/apt.conf.d/50unattended-upgrades 中添加明确黑名单：
Unattended-Upgrade::Package-Blacklist { "linux-image-generic"; "linux-headers-generic"; "linux-firmware"; }; - 若使用专有驱动（如 nvidia-driver-535、amdgpu-pro），也建议加入黑名单，防止其随内核联动升级
- 运行
sudo unattended-upgrades --dry-run --debug模拟一次升级，重点检查输出中是否出现 linux-* 或 firmware 相关包名
用对国内镜像，保障安全补丁完整拉取
换镜像不等于提速，关键是要镜像同步了 -security 通道。很多镜像默认不包含或延迟同步该源，会导致安全补丁根本拉不到。
- 推荐使用完整配置的清华 TUNA 镜像源，它明确包含：
deb https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-security main restricted universe multiverse - 切勿只替换
archive.ubuntu.com而忽略security.ubuntu.com—— 后者若未同步，安全补丁将完全失效 - 修改源后必须执行
sudo apt update，再用apt list --upgradable | grep security验证是否真能识别到安全更新
启用周期任务并验证全过程
无人值守升级依赖两个配置文件协同工作：一个管“从哪下”，一个管“什么时候下+装”。缺一不可，且需独立验证。
- 确保 /etc/apt/apt.conf.d/20auto-upgrades 启用周期行为：
APT::Periodic::Update-Package-Lists "1";<br>APT::Periodic::Download-Upgradeable-Packages "1";<br>APT::Periodic::Unattended-Upgrade "1";
- 日志是唯一可信依据：查看 /var/log/unattended-upgrades/unattended-upgrades.log，重点关注 Last Updated 时间和 Inst 开头的已安装包列表
- 手动触发一次真实升级（非 dry-run）：
sudo unattended-upgrade，观察日志是否记录成功安装、有无报错、是否跳过黑名单包
