生产环境数据盘需配置独立挂载目录与权限隔离：一选语义清晰路径如/data/applogs；二挂载时启用noexec,nosuid,nodev,relatime；三挂载后用chown/chmod设属主与最小权限，如750目录、640日志、1770临时目录。
为生产环境数据盘配置独立挂载目录与权限隔离，核心是三件事：选对挂载点路径、挂载时加安全选项、挂载后设精准权限。不靠复杂容器或SELinux策略，标准Linux机制就能做到强隔离。
选一个语义清晰、生命周期独立的挂载点
避免用 /mnt 或 /media 这类通用临时目录。生产数据盘应使用业务含义明确的路径，例如：
- /data/applogs —— 专用于应用日志，和系统日志 /var/log 分离
- /data/uploads —— 用户上传文件专用，与代码目录完全解耦
- /data/backup —— 备份归档独占，禁止运行时写入
这类路径天然支持按业务维度做备份、监控、配额和审计，也便于后续迁移到LVM或网络存储。
挂载时启用只读/不可执行等基础防护选项
挂载命令中加入 noexec,nosuid,nodev,relatime 是最低成本的安全加固：
- noexec 阻止在该分区上直接运行二进制（防恶意脚本提权）
- nosuid 忽略 setuid/setgid 位（防权限继承滥用）
- nodev 禁止解析设备文件（防 /dev/sda 等被意外访问）
- relatime 减少元数据更新，提升IO性能且不影响日志时间戳精度
示例命令：
mount -t xfs -o defaults,noexec,nosuid,nodev,relatime /dev/sdb1 /data/uploads
挂载后用用户/组+权限实现运行账户隔离
权限隔离不是只靠 chmod 755。关键动作分两步：
- 用 chown 把目录归属设为专用服务用户（如 tomcat:appdata），而非 root
- 用 chmod 设定最小必要权限：
• 目录本身：750（属主可读写执行，属组可读执行，其他无权）
• 日志文件：640（属主可读写，属组可读，其他无权）
• 上传临时目录（如 uploads/tmp）：1770（带 sticky bit，确保用户只能删自己创建的文件）
若需多服务共用一个数据盘（如 Nginx 和 Tomcat 共享静态资源），建议用 bind mount + --bind -o ro 方式分别挂载只读子路径，避免权限交叉。
写入 fstab 并验证自动挂载可靠性
不要依赖手动 mount。将配置固化到 /etc/fstab，并用 UUID 替代设备名防止磁盘顺序变化导致挂错：
- 先查 UUID：blkid /dev/sdb1
- 追加行（注意字段间用 Tab 分隔）：
UUID=xxxx-xxxx /data/uploads xfs defaults,noexec,nosuid,nodev,relatime 0 2 - 验证：mount -a && findmnt /data/uploads，确认输出中 Options 字段含全部安全选项
