生产环境不建议依赖用户登出清理/tmp，应优先启用systemd的privatetmp隔离服务临时空间，并配合systemd-tmpfiles定时清理规则；登出清理仅限特定场景且须严格限定范围、使用pam_exec触发、记录日志，禁用.bash_logout等不可靠方式。
生产环境不建议依赖用户登出时清理 /tmp，因为登出行为不可靠（如 SSH 非交互式退出、图形会话崩溃、服务后台运行等），且直接操作全局 /tmp 存在权限与竞态风险。真正安全、可控的做法是：**用 systemd 的 PrivateTmp 隔离服务临时空间 + 系统级定时清理规则**，而非在登出时“手动扫尾”。
优先启用服务级私有临时目录（推荐）
这是生产环境最稳妥的方案，从根源上避免跨服务文件污染和清理冲突：
- 编辑服务单元文件（如
/etc/systemd/system/myapp.service），在[Service]段添加：PrivateTmp=yes - systemd 启动时自动为该服务挂载独立的 tmpfs 到
/tmp，与其他服务及主机/tmp完全隔离 - 服务停止后，专属
/tmp自动销毁，无需登出触发、不依赖用户状态、无残留风险 - 兼容所有登录方式（SSH、systemd-run、容器内服务等），对应用透明
若确需登出时清理用户专属临时区
仅限特定场景（如共享终端机、多用户 CLI 工具链），必须严格限定范围：
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
- 只清理用户创建的命名空间目录：
/tmp/$USER-*和/tmp/user-$(id -u)，绝不可碰/tmp根下其他文件 - 使用
pam_exec而非.bash_logout，确保覆盖所有 PAM 登出路径（TTY/X11/SSH） - 脚本路径写绝对路径（如
/usr/local/bin/clean-user-tmp.sh），首行必须是#!/bin/sh - 关键命令示例：
rm -rf "/tmp/$PAM_USER-"* "/tmp/user-$(id -u "$PAM_USER")" 2>/dev/null - 添加日志记录到
/var/log/user-clean.log，便于审计
强化系统级清理策略（必做）
登出清理只是补充，主防线仍是 systemd-tmpfiles 的可靠定时机制：
- 确认定时器已启用：
systemctl is-enabled systemd-tmpfiles-clean.timer（应返回enabled） - 检查当前规则：
systemd-tmpfiles --cat-config | grep '/tmp'，确认未被意外覆盖 - 如需缩短保留周期（如金融类临时文件要求更严），新建
/etc/tmpfiles.d/production-tmp.conf：d /tmp 1777 root root 3d（3天未访问即删） - 立即生效：
sudo systemd-tmpfiles --clean（测试用）+sudo systemctl restart systemd-tmpfiles-clean
禁用不安全的替代方案
以下做法在生产中应明确禁止：
- ❌ 修改
~/.bash_logout：仅对交互式 Bash 有效，GUI、systemd 用户服务、crond 启动进程均不触发 - ❌ 使用
systemd --user服务清理/tmp：登出后用户实例可能未及时终止，且/tmp不属用户 home，权限模型错位 - ❌ 直接
rm -rf /tmp/*或 cron 全局清理：极易误删 MySQL socket、Docker runtime 文件等关键运行时资源 - ❌ 依赖
TMPTIME开机清空：重启无法保证清理，且不能满足中间态安全要求
