linux内核模块黑白名单本质是加载控制机制：黑名单禁止指定模块加载（如通过/etc/modprobe.d/blacklist.conf），白名单则依赖secure boot签名强制实现“仅加载可信模块”，二者均作用于模块加载阶段，非运行时控制。
Linux 内核模块的黑名单与白名单机制，本质是控制哪些模块在系统启动或运行时被加载或禁止加载，属于内核模块管理层面的安全与稳定性策略，和防火墙规则中的黑白名单逻辑不同，但思想一致：一个“只放行已知可信”，一个“默认阻断已知风险”。
黑名单：阻止特定模块加载
黑名单用于明确禁止某些模块被内核自动加载，常见于以下场景：
- 避免加载有安全漏洞、与硬件冲突或导致系统不稳定的旧驱动（如某些显卡或无线网卡模块）
- 防止恶意或未经签名的第三方模块注入（尤其在启用 Secure Boot 的系统中）
- 精简内核内存占用，禁用不需要的功能模块（如蓝牙、firewire）
实现方式是在 /etc/modprobe.d/ 目录下新建配置文件（如 blacklist.conf），写入：
blacklist module_name
install module_name /bin/false
第二行更严格——即使用户手动执行 modprobe module_name，也会因执行 /bin/false 而失败。系统启动时，modprobe 会读取这些规则，跳过黑名单中的模块。
白名单：仅允许指定模块加载（需配合模块签名与 Secure Boot）
Linux 内核本身不提供原生“模块白名单”开关，但可通过组合机制实现等效效果：
- Secure Boot + 强制模块签名：启用 UEFI Secure Boot 后，内核可配置为仅加载经可信密钥签名的模块（通过内核参数 module.sig_unenforce=0 或编译时开启 CONFIG_MODULE_SIG_FORCE=y）。未签名或签名无效的模块一律拒绝加载——这本质上就是白名单逻辑。
- 自定义 initramfs 或启动脚本：在 initramfs 阶段只放入明确需要的模块，并禁用 modprobe 自动探测；或通过 systemd 服务在启动后主动卸载所有非白名单模块（不推荐常规使用，影响稳定性）。
- 内核参数限制：使用 modprobe.blacklist=* 先全局屏蔽，再用 modprobe.preload=mod1,mod2 显式预加载白名单模块（依赖 initramfs 支持）。
关键区别与注意事项
不同于 iptables 的链式规则，模块黑白名单作用于模块加载阶段，不涉及运行时数据包或进程行为控制：
- 黑名单是“软性禁止”：模块仍可被 root 手动强制加载（除非签名强制启用）
- 白名单效果依赖 Secure Boot 和内核配置，不是单纯靠配置文件就能启用
- 误拉黑关键模块（如 ahci、ext4）可能导致系统无法启动，操作前务必备份 initramfs 并确认恢复手段
- 黑名单文件需以 .conf 结尾，且必须位于 /etc/modprobe.d/ 下，否则不会被读取
验证与调试方法
检查模块是否被成功屏蔽：
lsmod | grep module_name —— 若无输出，说明当前未加载
modprobe -n -v module_name —— 查看 modprobe 是否会尝试加载及受何规则影响
dmesg | grep -i "module.*denied" —— 检查签名拒绝日志（启用模块签名时）
临时绕过黑名单测试（仅调试）：
sudo modprobe --ignore-install module_name
