关键运行时环境变量（如path、java_home、ld_library_path）一旦被恶意篡改，可导致命令劫持、权限提升、敏感信息泄露甚至远程代码执行；加固需从源头阻断注入路径、收紧执行边界、分离敏感数据，并严格管控全局profile文件权限与加载逻辑。
关键运行时环境变量（如 PATH、JAVA_HOME、LD_LIBRARY_PATH 等）一旦被恶意篡改，可导致命令劫持、权限提升、敏感信息泄露甚至远程代码执行。加固不是简单设 readonly，而是从源头阻断注入路径、收紧执行边界、分离敏感数据。
严格管控全局Profile文件权限与加载逻辑
/etc/profile、/etc/profile.d/*.sh 和 /etc/bash.bashrc 是登录 shell 加载环境变量的主路径，但默认不校验子文件安全性：
- 将所有全局 profile 文件属主设为 root:root，权限统一为 644：
chown root:root /etc/profile /etc/bash.bashrc && chmod 644 /etc/profile /etc/bash.bashrc - /etc/profile.d/ 目录权限设为 755，其下每个 .sh 脚本必须是 644 且属主为 root；运行
find /etc/profile.d -type f ! -perm 644 -o ! -user root -o ! -group root定期扫描异常 - 在 /etc/profile 开头插入校验段：检查 /etc/profile.d/ 中是否存在非 root 属主或非 644 权限文件，发现即
exit 1，防止静默加载恶意脚本
PATH 变量必须显式定义并拒绝危险路径
PATH 中出现空字段（如开头或结尾的冒号）、.、/tmp、/var/tmp 或用户可写目录，极易被用于二进制劫持：
- 在 /etc/profile 或专用脚本（如 /etc/profile.d/security-path.sh）中强制覆盖 PATH：
export PATH="/usr/local/bin:/usr/bin:/bin:/usr/local/sbin:/usr/sbin:/sbin" - 添加运行时校验逻辑：
case ":$PATH:" in *":.:"*|*":/tmp:"*|*":/var/tmp:"*) echo "Unsafe PATH" >&2; exit 1;; esac - 禁止通过 ~/.bashrc 或 ~/.profile 覆盖 PATH —— 在 /etc/profile 末尾加
export PATH="..."后紧跟readonly PATH，虽不继承只读属性，但配合不可写路径才真正生效
敏感变量禁止明文导出，改用受控注入机制
数据库密码、API密钥、内部服务地址等绝不能以 export SECRET=xxx 形式出现在全局配置中：
- 全局文件中删除所有含
export.*_PASSWORD、export.*_KEY、export.*_TOKEN的行 - 如需注入，使用 root-only 可读的外部文件（如
/etc/secenv），并在 source 前校验：[ -r /etc/secenv ] && [ "$(stat -c '%U:%G' /etc/secenv)" = "root:root" ] && [ "$(stat -c '%a' /etc/secenv)" = "600" ] && source /etc/secenv - Java 类应用推荐通过 systemd 环境文件（
EnvironmentFile=/etc/sysconfig/java-env）管理 JAVA_HOME 和 CLASSPATH，避免污染用户级环境
建立运行时审计与自动化验证机制
静态配置易被绕过，需结合运行时行为检测和定期基线比对：
- 用
bash -ilc 'echo $PATH'模拟真实登录 shell，避免交互缓存干扰；再逐段检查：for d in $(echo $PATH | tr ':' '\n'); do ls -ld "$d" 2>/dev/null | grep -E '^-.*[w-]{2}..[w-]'; done - 搜索可疑定义：
grep -r 'export.*=' /etc/profile* /etc/profile.d/ 2>/dev/null | grep -vE '(PATH|HOME|LANG|USER)' - 部署轻量检查脚本（如 /usr/local/bin/check-profile），纳入 cron 每日执行，并将异常结果发至运维告警通道
