最可靠方式是 apt-mark hold（debian/ubuntu）或 dnf versionlock（rhel/centos/rocky）；dpkg --set-selections 和 /etc/apt/preferences 为补充但易出错。
直接结论：用 apt-mark hold（Debian/Ubuntu）或 dnf versionlock（RHEL/CentOS/Rocky）是最可靠、最易验证的方式；dpkg --set-selections 和 /etc/apt/preferences 属于补充手段，但容易因优先级或覆盖逻辑出错。
Debian/Ubuntu 怎么用 apt-mark hold 锁定软件包
这是最常用也最不容易翻车的方法，对 apt upgrade、apt full-upgrade、apt-get upgrade 全部生效，且不干扰依赖安装（比如你锁了 nginx，但装 certbot 仍可自动拉入它需要的 python3-requests）。
- 锁定单个包：
sudo apt-mark hold nginx - 一次锁多个：
sudo apt-mark hold nginx curl wget - 查看当前所有被锁的包：
apt-mark showhold（不用 sudo） - 解除锁定：
sudo apt-mark unhold nginx
注意：apt-mark hold 不影响手动指定版本安装，例如 sudo apt install nginx=1.24.0-1ubuntu1 仍能执行；但它对安全更新（如 Ubuntu 的 unattended-upgrades）可能无效——某些 LTS 版本会通过 APT pinning 绕过 hold，若需绝对隔离，得配合 /etc/apt/apt.conf.d/50unattended-upgrades 关闭自动安全更新。
RHEL/CentOS/Rocky 怎么用 dnf versionlock 锁定版本
DNF 的 versionlock 插件默认不启用，必须先装插件再加锁，而且它支持精确到 epoch:version-release.arch，比单纯锁包名更严谨。
- 安装插件：
sudo dnf install python3-dnf-plugins-extras-versionlock - 锁住当前已安装的
httpd版本：sudo dnf versionlock add httpd - 锁某个具体版本（推荐用于生产）：
sudo dnf versionlock add httpd-2.4.57-1.el9 - 查看锁表：
dnf versionlock list - 删掉某条规则：
sudo dnf versionlock delete httpd-2.4.57-1.el9
规则实际写入 /etc/dnf/plugins/versionlock.list，支持通配符（如 kernel-*），也支持注释。但要注意：如果用 dnf distro-sync 或强制重装，versionlock 不会阻止——它只干预 dnf upgrade 类操作。
为什么不用 dpkg --set-selections 锁定？
这个方法底层确实有效（APT 本身基于 dpkg），但它是“状态标记”，不是“策略控制”，在真实运维中容易被覆盖或忽略。
- 设置 hold：
echo "nginx hold" | sudo dpkg --set-selections - 查状态：
dpkg --get-selections | grep hold
问题在于：apt-mark hold 实际上也是调用这组接口，但它做了封装和校验；而直接用 dpkg --set-selections 后，若后续运行 apt install 没带 --no-install-recommends，或某些 GUI 工具（如 Synaptic）刷新状态时重置 selection，就可能失效。另外，它不提供批量管理、不记录来源、也不和 APT 的升级预览命令（apt list --upgradable）联动，排查成本更高。
锁定后还要注意什么？
锁定只是跳过升级动作，不等于系统免疫风险。几个关键盲点常被忽略：
- 依赖链里没被锁的包升级了，可能引发 ABI 不兼容（比如你锁了
openssl主包，但libssl1.1被升级，服务就可能崩） -
apt full-upgrade在某些配置下会尝试“智能解冲突”，绕过 hold 做最小升级，建议统一用apt upgrade - 容器化部署时，别只锁宿主机的
docker-ce，更要确保镜像 tag 固定（如nginx:1.24-alpine），否则锁了宿主机也没用 - 集群环境用 Ansible 批量锁包时，记得加上
ignore_errors: yes——因为不同节点上包名可能略有差异（如kernel-corevskernel）
真正稳的方案不是“只锁一个包”，而是“明确知道哪些包不该动、为什么不能动、坏了怎么回滚”。版本锁定只是其中一环，不是免责金牌。
