真正有效的只读保护需分层施控：一、Docker中用:ro挂载配置文件；二、Linux主机用chattr +i锁定核心配置（如/etc/sudoers），root也无法修改；三、Windows需禁用NTFS写权限而非仅勾选只读；四、信创系统启用KYSEC防篡改模块。
要对系统关键业务文件实现真正有效的只读保护、防止篡改，不能只靠表面属性或单一手段，而需分层施控：从文件系统挂载控制、内核级属性锁定、操作系统权限收敛，到信创环境特有加固机制，层层设防。
一、用只读挂载保护容器或服务中的配置文件
适用于 Docker、Kubernetes 等运行时环境，重点保护配置、证书、静态资源等无需写入的路径：
- 在
docker-compose.yml中使用:ro后缀或read_only: true显式声明卷挂载为只读，例如：- ./nginx.conf:/etc/nginx/nginx.conf:ro - 避免将日志、临时文件、状态目录（如
/var/log、/tmp）也设为只读；对这些路径应单独挂载可写卷或使用tmpfs - 启动后进入容器执行
echo test > /etc/nginx/nginx.conf，若返回Read-only file system错误，说明挂载生效
二、用 chattr +i 锁定 Linux 主机上的静态核心配置
这是内核级防护，root 用户也无法绕过，适合极少变更、强依赖的关键文件：
- 适用对象包括：
/etc/sudoers、/etc/fstab、/boot/grub2/grub.cfg、/etc/nginx/nginx.conf（确认不启用热重载） - 操作必须严格按三步执行：先备份（如
cp /etc/sudoers /etc/sudoers.bak），再语法验证（如visudo -c或mount -a），最后执行chattr +i /path/to/file - 验证是否生效：
lsattr /etc/sudoers应显示含i标志；尝试追加内容会报Operation not permitted - 切勿对目录递归加
+i（如chattr -R +i /etc），否则包管理器、SSH 密钥生成等基础功能将失效
三、Windows 下通过 NTFS 权限实现强只读约束
仅勾选“只读”属性无效，必须禁用写入类权限才能阻止拥有账户权限的用户修改：
- 右键文件 → “属性” → “安全” → “高级”，先点击“禁用继承”并删除所有继承权限
- 点击“添加”，输入目标用户或组（如
Users），仅授予“读取”和“读取和执行”，取消“写入”“修改”“删除”等全部写相关权限 - 若提示权限不足，需先切换所有者：在“高级”→“所有者”中更改为你当前账户，并勾选“替换子容器和对象的所有者”
- 命令行快速设置（管理员 PowerShell）：
icacls "C:\important.conf" /inheritance:r /grant:r "Users:(RX)"
四、麒麟等信创系统启用 KYSEC 文件防篡改模块
国产操作系统提供原生内核级防护能力，比通用工具更适配合规与审计要求：
- 图形方式：打开“安全中心” → 【高级配置】→ 开启【文件防篡改】，输入管理员密码确认
- 命令行方式：
sudo kysec_set -n protect -v on，支持指定路径加固，如：sudo kysec_set -n protect -v on /etc/passwd /usr/bin/python3 - 启用后配合审计：
auditctl -w /etc/passwd -p wa -k passwd_protect，用于追踪异常访问或解锁行为 - 建议叠加 KYSEC 的
config-immutable=on模式，增强抗绕过能力
不复杂但容易忽略：所有只读策略都需前置验证——确认应用确实不需要写入该路径，否则会导致服务启动失败或运行异常。保护的前提是可用，而非单纯锁死。
