Linux中真正让文件“不可修改”的隐藏属性是chattr +i设置的immutable标志，作用于inode层，连root也无法覆盖、删除、重命名或写入，需sudo执行并用lsattr验证含i标志。

Linux 中真正让文件“不可修改”的隐藏属性，不是靠改名或权限掩码，而是用 chattr +i 设置 immutable（不可变）标志。它作用于文件系统 inode 层，连 root 都无法覆盖、删除、重命名或写入，是内核级硬锁定。

怎么设置不可修改属性

必须用 root 或 sudo 执行：

• sudo chattr +i /path/to/file —— 加锁
• sudo lsattr /path/to/file —— 确认输出含 i（如 ----i--------e--）
• 普通用户执行会提示 Operation not permitted，说明已生效

哪些文件适合加 i 属性

只用于长期静态、关键且修改需人工强确认的系统文件：

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• /etc/passwd、/etc/shadow、/etc/group —— 身份认证基线
• /etc/sudoers —— 提权控制核心，一行错误就可能失权
• /boot/grub2/grub.cfg —— 启动配置，防持久化后门
• /etc/fstab —— 挂载规则，误改会导致系统无法启动

操作前必须做的三件事

• 先备份：加锁后连 cp 都会失败，例如 cp /etc/sudoers /backup/sudoers.$(date +%s)
• 查文件系统：运行 df -T /path，确保是 ext4 或支持 i 的 xfs；NTFS、FAT、NFS 不支持
• 看当前属性：用 lsattr /path/to/file 确认没冲突（比如已有 a 或 i），再用 fuser -v /path 确保无进程占用

解锁和编辑的正确流程

加锁不是一劳永逸，维护时必须严格走三步：

• sudo chattr -i /path/to/file —— 先解锁
• 编辑文件（用 visudo 编辑 sudoers，避免语法错误）
• sudo chattr +i /path/to/file —— 立即重锁

跳过任一环节，都可能导致服务异常（如 nginx reload 失败）或留下安全空档。