linux防文件篡改需构建三层防护闭环：①用chattr +i实现内核级不可变锁定；②通过getfacl定期备份权限快照并支持秒级还原；③结合auditd审计关键操作，三者协同而非单独依赖。
Linux 锁定文件权限防篡改，核心不是“一刀切禁止所有修改”，而是分层建立可验证、可回滚、有审计的防护链。单纯靠 chmod 无法真正防 root 或恶意进程，必须结合文件系统级属性、权限快照和行为约束。
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
用 chattr +i 实现内核级不可变锁定
这是最直接有效的硬防护手段，适用于证书、密钥、关键配置等静态文件： - 执行 `sudo chattr +i /path/to/file` 后，连 root 也无法删除、修改、重命名或覆盖该文件 - 验证是否生效：`lsattr /path/to/file`，输出中应含 `i`（如 `----i---------e---`） - 目录加 `+i` 会禁止所有写入元操作（新建/删/改名），慎用于 `/etc/ssh` 等可能需动态生成临时文件的路径 - 解锁必须先执行 `sudo chattr -i /path/to/file`，再操作，完成后建议立即重锁对敏感系统文件启用双重保护
比如 `/etc/group`、`/etc/gshadow`、`~/.ssh/authorized_keys` 这类直接影响权限分配的文件： - 先确保基础权限合规：`sudo chmod 644 /etc/group`、`sudo chmod 600 /etc/gshadow`、`chmod 600 ~/.ssh/authorized_keys` - 再加 `chattr +i` 锁定，防止任何用户（含 root）绕过权限直接写入 - 注意：NFS 挂载点不支持 `chattr`；容器环境需确认已授予 `CAP_LINUX_IMMUTABLE`定期备份权限元数据，实现秒级还原
`chattr +i` 防不了主动解锁后的误操作，所以必须配套快照机制： - 用 `getfacl -R /etc /home > perms-$(date +%F).acl` 备份关键路径权限 - 备份文件是纯文本，可用 `diff` 对比、Git 管理、自动同步到只读存储 - 恢复时用 `setfacl --restore=perms-2026-07-28.acl`，它不依赖当前状态，精准重写权限 - 建议加入 crontab 每日凌晨自动执行，并配合 `inotifywait` 在 `/etc` 变更时触发即时快照限制修改入口 + 审计留痕
光锁文件不够，还要管住“谁在什么时候改了什么”： - 禁用危险递归命令：`alias chmod='chmod --no-preserve-root'` 或临时封禁 - 用 `auditd` 监控关键二进制：`-w /usr/bin/chmod -p x -k chmod_usage`，后续查 `ausearch -k chmod_usage` - 对 `/etc`、`/boot` 等目录设 `chattr +a`（仅追加）或 `+i`（完全锁定），但需评估服务兼容性不复杂但容易忽略。真正起作用的，是把 chattr +i、getfacl 快照、auditd 日志这三者串成闭环，而不是单独依赖某一项。
