最可靠方式是debian/ubuntu用apt-mark hold、rhel/centos/rocky用dnf versionlock；两者均原生支持、可验证、不影响依赖解析，需配合三步验证（检查待升级列表、模拟升级、比对实际版本）确保生效。
在 Linux 系统中锁定指定软件包、防止被意外升级，关键在于使用发行版原生包管理器提供的版本锁定机制，而不是靠临时屏蔽或手动干预。不同系统有不同推荐方式：Debian/Ubuntu 用 apt-mark hold，RHEL/CentOS/Rocky 用 dnf versionlock（或 yum versionlock），两者都可靠、可验证、不影响依赖解析。
Debian/Ubuntu：用 apt-mark hold 锁定当前安装版本
这是最轻量、最常用、也最不容易出错的方式。它直接标记包状态，对 apt upgrade、apt full-upgrade 全部生效。
- 锁定单个包：
sudo apt-mark hold nginx - 一次锁多个：
sudo apt-mark hold nginx php-fpm docker.io - 查看所有被锁包：
apt-mark showhold（无需 sudo） - 解除锁定：
sudo apt-mark unhold nginx
注意：它不阻止手动安装指定版本（如 apt install nginx=1.24.0-1ubuntu1），也不影响安全更新推送本身——但 Ubuntu LTS 的 unattended-upgrades 可能绕过 hold。若需绝对隔离，应同步修改 /etc/apt/apt.conf.d/50unattended-upgrades，关闭自动重启并显式加入黑名单。
RHEL/CentOS/Rocky：用 dnf versionlock 精确锁版本
dnf（或 yum）默认不启用 versionlock 插件，需先安装再配置。它支持精确到 epoch:version-release.arch，适合生产环境多版本共存场景。
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
- 安装插件：
sudo dnf install python3-dnf-plugins-extras-versionlock - 锁住当前已安装的版本：
sudo dnf versionlock add httpd - 锁死具体构建（推荐上线镜像）：
sudo dnf versionlock add kernel-core-5.14.0-284.30.1.el9_2.x86_64 - 查看规则：
dnf versionlock list - 删除某条规则：
sudo dnf versionlock delete httpd-2.4.57-1.el9
规则持久化保存在 /etc/dnf/plugins/versionlock.list，可直接编辑增删。注意：versionlock 不干预 dnf reinstall 或 dnf distro-sync，这两类操作仍可能覆盖锁定版本。
哪些包必须优先锁定？
不是所有包都值得锁，但以下几类一旦升级，极易引发服务中断或系统不可维护：
-
内核（
kernel、kernel-core）：ABI 变动影响驱动、容器运行时和 SELinux -
基础运行时（
glibc、openssl、libcap）：几乎所有动态链接程序都依赖，小版本也可能破坏兼容性 -
核心系统服务（
systemd、dbus、rpm）：关系启动流程、权限模型和包管理逻辑 - 深度定制组件（如 NVIDIA 驱动、定制监控 agent、私有内核模块）：绑定特定内核头文件或内部接口，换版本即失效
锁定后务必验证是否真正生效
配置完不能就放着，必须三步验证：
- 检查是否出现在待升级列表中：
apt list --upgradable（Debian/Ubuntu）或dnf list upgrades（RHEL系），目标包不应出现 - 模拟升级确认拦截：
apt upgrade --dry-run或dnf update --assumeno，输出中应无目标包的升级动作 - 比对实际版本：
dpkg -l nginx或rpm -q nginx，确保升级前后版本一致
忽略验证环节，等于没锁。
