pidfile参数不能用于锁定pid文件到只读路径，因其仅指定pid写入路径，不控制权限；若路径不可写，sshd将启动失败并报“permission denied”错误。
PidFile 的作用是记录 sshd 主进程的 PID（进程号），便于管理（如重启、平滑重载、监控）；它本身不参与权限控制或进程保护，也无法防止恶意进程伪造或篡改 PID 文件。 将其指向一个“受限只读路径”不仅不可行，还会直接导致 sshd 启动失败。
为什么“只读路径 + PidFile”行不通？
sshd 在启动时需要以 root 权限写入并持续更新 PID 文件（例如首次创建、写入当前 PID、重启时覆盖旧值）。若指定路径对 root 不可写（如挂载为只读、ACL 限制、chattr +i），sshd 将因无法创建/写入 PID 文件而拒绝启动，并报错：
error: Could not write pid file to /path/to/pidfile: Permission denied- 或直接静默退出，systemd 显示
failed to start OpenSSH server daemon
真正有效的 PID 安全防护措施
防范 PID 劫持（如攻击者删除旧 PID、伪造同名文件、向错误进程发信号）的关键在于：确保 PID 文件归属可信、内容可信、使用方式可信，而非强行“只读”：
-
限定 PID 文件路径为 root-owned、0600 权限的专用目录（如
/var/run/sshd/），避免放在全局可写位置（如/tmp或/var/run根下） - 启用 systemd 管理时，无需手动配置 PidFile：systemd 自动通过 cgroup 和 `Type=notify` 跟踪主进程，PID 文件由其内部维护，更可靠
-
验证 PID 文件内容真实性：脚本中不要仅依赖文件存在就发 kill，应结合
kill -0 $PID 2>/dev/null检查进程是否真实存活且属 sshd -
禁用非必要信号操作：避免在非 root 环境下执行
kill $(cat /var/run/sshd.pid)类命令；统一使用systemctl restart sshd
如果你坚持自定义 PidFile，请严格遵循最小权限原则
仅在必须脱离 systemd 管理（如嵌入式或容器）时才显式设置，且路径必须满足：
- 目录由 root 所有，权限为
0700（如/var/run/sshd） - PID 文件自身权限设为
0600（sshd 默认行为，无需额外 chmod） - 确保目录所在文件系统未挂载为
noexec,nosuid,nodev,ro等限制选项 - 配置示例（
/etc/ssh/sshd_config）：PidFile /var/run/sshd/sshd.pid
不复杂但容易忽略：PID 安全的本质是运行时信任链与权限隔离，不是靠文件系统只读来“硬锁”。真正要防的是提权后篡改，而这需靠 SELinux/AppArmor、最小化 root 权限、及时更新补丁等纵深防御手段。
