mask 是让 systemd 彻底屏蔽服务，通过创建指向 /dev/null 的软链接实现，任何启动请求均被拒绝；disable 仅阻止开机自启，服务仍可手动或依赖启动。
用 mask 就是让 systemd “假装看不见”这个服务——不是停掉、不是禁用，而是直接切断所有启动入口，连依赖触发都绕不过去。
mask 的本质是创建一个指向 /dev/null 的硬性软链接
执行 sudo systemctl mask xxx.service 后，systemd 会在 /etc/systemd/system/ 下创建一个同名软链接，目标是 /dev/null。只要这个链接存在，无论谁（包括其他 service、target 或手动 start）试图启动它，systemd 都会立刻拒绝，并报错：
Failed to start xxx.service: Unit xxx.service is masked.- 即使该服务被别的单元设为
Wants=或Requires=，也不会被拉起
什么时候该用 mask 而不是 disable
disable 只阻止开机自启，服务仍可被手动 start 或被依赖激活；mask 才是真正“物理隔离”：
- 调试时临时屏蔽某个关键依赖（比如临时断开
dbus-broker.service观察影响） - 防止误操作：如生产环境禁用
sshd.service前，先 mask 避免网络策略变更后意外触发 - 彻底封禁已知高危或废弃服务（如旧版
rpcbind.service、测试残留的debug-shell.service）
操作步骤与注意事项
执行前建议先确认服务当前状态和依赖关系：
- 查是否已在运行：
systemctl is-active xxx.service - 看谁依赖它：
systemctl list-dependencies --reverse --type=service xxx.service - 执行屏蔽：
sudo systemctl mask xxx.service - 验证效果：
systemctl start xxx.service应立即失败；systemctl status xxx.service显示masked状态
⚠️ 注意：mask 后若需恢复，必须先 unmask，再 enable 或 start —— 直接 start 无效，enable 也会失败。
解除屏蔽与清理
恢复分两步，缺一不可：
- 取消屏蔽：
sudo systemctl unmask xxx.service（删除那个 /dev/null 软链接） - 再按需启用或启动：
sudo systemctl enable xxx.service && sudo systemctl start xxx.service
不复杂但容易忽略
