nosuid使挂载点上suid/sgid文件权限位失效，普通用户执行时不会切换身份，仅以当前用户运行；适用于/tmp、/var/tmp、用户上传目录等非系统盘，常与noexec、nodev组合使用。
直接用 mount -o nosuid 能让挂载点上的 setuid/setgid 文件失效，普通用户即使运行了带 suid 位的程序（比如 -rwsr-xr-x），也不会切换到文件所有者身份，从而阻断常见提权路径。它不单独防执行，但和 noexec、ro 配合使用效果更扎实。
nosuid 的作用机制与适用场景
nosuid 不是禁止执行，而是“忽略”文件的 setuid 和 setgid 权限位。例如：
一个属主为 root、权限为 -rwsr-xr-x 的程序放在 /mnt/data 下，若该分区以 nosuid 挂载，普通用户执行它时仍能运行，但不会获得 root 权限——始终以当前用户身份运行。
这特别适合以下位置：
-
/tmp和/var/tmp：临时文件集中地，易被植入恶意 suid 程序 - 用户上传目录（如
/var/www/uploads）：防止上传带 suid 的二进制或脚本 - 备份或数据盘（如
/mnt/backup）：非系统盘，无需特权继承
快速启用 nosuid 的两种方式
无需重启，一条命令即可生效：
-
临时启用（重启后失效）：
sudo mount -o remount,nosuid /mnt/data -
验证是否生效：
运行findmnt -o TARGET,OPTIONS /mnt/data，确认输出中包含nosuid -
永久启用（开机自动）：
编辑/etc/fstab，在目标行第 4 字段（options 列）添加nosuid，多个选项用逗号分隔，例如：/dev/sdb1 /mnt/data ext4 defaults,nosuid,noexec,nodev 0 2
保存后执行sudo mount -a测试配置是否合法
为什么必须搭配 noexec 和 nodev 才算完整防护
nosuid 单独使用存在盲区，需组合加固：
-
noexec：补上“不能执行”这一环，防止普通可执行文件绕过 suid 限制直接提权（如利用本地漏洞的 shellcode） -
nodev：阻止在挂载点内创建或解析设备节点（如/dev/zero、/dev/sda），避免通过设备访问越权 -
ro（只读）：对纯存储类分区（如归档盘、镜像挂载），加ro可彻底杜绝写入+执行+提权三连风险
典型安全组合： nosuid,noexec,nodev 或更严的 ro,nosuid,noexec,nodev。
注意事项与避坑提醒
这些限制不是万能的，实际部署要注意：
- 别对
/、/usr、/bin、/lib等系统关键路径加nosuid，否则系统命令（如sudo、passwd）会异常或失效 - 某些应用依赖 suid 行为（如旧版容器运行时、特定备份工具），启用前建议在测试环境验证业务流程
- nosuid 对符号链接、硬链接无效，其效果仅作用于挂载点所在文件系统的本地 inode
- 它不替代文件权限管理——仍需配合
chmod清理已有可疑 suid 文件：find /mnt/data -perm /6000 -ls
