可通过 mount 的 noexec 选项禁止分区执行程序，临时用 mount -o remount,noexec /path，永久修改 /etc/fstab 添加 noexec；注意不适用于系统关键目录，且不影响显式调用解释器执行。

可以通过 mount 命令的 noexec 挂载选项，禁止在指定分区上执行任何二进制程序或脚本，这是系统安全加固中常用手段。

确认目标分区及当前挂载状态

先用 df -h 或 lsblk 查看待操作分区（如 /dev/sdb1），再用 findmnt /mount/point 确认它是否已挂载、当前挂载参数（是否已有 noexec）。

例如：

• df -h | grep sdb1 → 找到挂载点（如 /data）
• findmnt /data → 查看输出中 OPTIONS 列是否含 noexec

临时禁用执行权限（重启后失效）

对已挂载分区，使用 remount 加 noexec 参数立即生效：

• sudo mount -o remount,noexec /data
• 验证：尝试在 /data 下运行一个可执行文件（如 /data/test.sh），应报错 Permission denied
• 注意：若原挂载含 exec，remount,noexec 会覆盖；若原为默认（隐含 exec），该命令同样生效

永久禁用执行权限（写入 fstab）

编辑 /etc/fstab，修改对应分区行，在第4字段（options）中加入 noexec（多个选项用逗号分隔，不加空格）：

• 原行示例：/dev/sdb1 /data ext4 defaults 0 2
• 修改后：/dev/sdb1 /data ext4 defaults,noexec 0 2
• 保存后执行 sudo mount -a 重读 fstab 并应用变更（不重启也可生效）
• 补充建议：常与 nosuid、nodev 一起使用，进一步限制风险，如 defaults,noexec,nosuid,nodev

注意事项与常见问题

noexec 只影响通过文件系统直接执行的程序（如 ./a.out 或 bash script.sh），不影响解释器显式调用（如 /bin/bash /data/script.sh 仍可能运行——但此时脚本本身不具执行位，安全性取决于解释器策略和脚本内容）。

• 若分区用于存放 Web 上传文件、用户上传内容或日志归档，noexec 能有效缓解恶意脚本提权风险
• 不要对 /、/usr、/bin 等系统根目录或关键路径启用 noexec，否则系统无法启动或命令失效
• 某些应用（如 Java 临时解压、Node.js 编译缓存）可能依赖执行权限，启用前需测试业务兼容性