Linux权限管理：通过chattr防止重要文件被删除-linux运维-PHP中文网

chattr +i 是唯一能真正防止重要文件被删除的内核级方案，它通过文件系统元数据锁定使 root 也无法执行 rm、mv 等操作；适用于 /etc/passwd、/etc/shadow、/etc/sudoers 等静态核心配置，加锁前须确认文件不被动态写入，且文件系统需支持 ext4/xfs。

linux权限管理：通过chattr防止重要文件被删除

要真正防止重要文件被删除，chattr +i 是唯一可靠且内核级生效的方案。它不依赖用户权限或进程身份，而是直接作用于文件系统元数据——加锁后，连 root 执行 rm、mv、echo > file 或 truncate 都会返回 “Operation not permitted”。

哪些文件适合加 +i 锁

必须是静态、生命周期内几乎不更新的配置文件。常见安全目标包括：

/etc/passwd、/etc/shadow、/etc/group（用户账户基础信息）
/etc/sudoers（提权策略核心，建议配合 visudo 使用）
/etc/fstab（挂载表，修改前需先解锁）
/etc/ssh/sshd_config（SSH服务主配置，确认无自动重生成行为）

⚠️ 切勿对动态文件加锁：如 /etc/resolv.conf（NetworkManager 管理）、/var/run/*.pid 或由 systemd、logrotate 自动写入的文件，否则服务将无法启动或轮转失败。

加锁与验证的正确操作

所有操作必须以 root 身份执行，且确保文件系统支持（ext4/xfs 常见，NFS/tmpfs 不支持）：

linux-sysadmin

Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...

下载

加锁命令：chattr +i /etc/sudoers
验证是否生效：lsattr /etc/sudoers，输出中应含 i 字符（如 ----i---------e---）
若输出无 i，先检查挂载选项（mount | grep " / " ），确认未挂载为只读或禁用扩展属性

目录级防护：谨慎使用 +i

对目录加 +i 不是“保护里面所有文件”，而是冻结该目录的元操作：

chattr +i /etc/ssh 后，禁止在该目录下新建、删除、重命名任何项（包括 ssh-keygen 生成密钥也会失败）
适用场景仅限入口级只读目录，例如审计归档路径或挂载的只读配置分区
误用 chattr -R +i /etc 将导致包管理器（apt/yum）、服务重载（systemctl daemon-reload）全部中断

别混淆 +a 和防删需求

+a（append-only）常被误认为“可追加不可删”，但它完全不阻止删除操作：

chattr +a /var/log/app.log → rm app.log 仍成功，echo "x" >> app.log 成功，echo "x" > app.log 失败
+a 对目录有效：设 chattr +a /var/log/myapp 后，rm /var/log/myapp/app.log 会被拒绝（因修改父目录条目）
但日志轮转（logrotate）默认用 rename()，会触发失败；需改用 copytruncate 或手动处理