linux开机自动解密非根分区（如/dev/sdb1）本质是用密钥文件替代人工输密码，由系统在启动时读取密钥完成解锁；密钥须存于加密根目录（如/etc/luks-keys/）、限权0400，并通过/etc/crypttab和/etc/fstab配置实现自动挂载。
Linux 系统无法真正“自动输入密码”，因为密码本质是人为保管的机密信息；所谓“开机自动解密”，实际是用密钥文件替代人工输密码，由 initramfs 或系统服务在启动时读取密钥完成解锁。该方案只适用于非根分区（如 /data、/home 外挂盘），且密钥文件必须安全存放、严格限权。
确认目标分区与安全前提
自动解密不适用于已加密的系统根分区（如 /），那需要 initramfs 阶段交互式输入——否则会卡在启动早期。本方案专为独立数据盘设计，例如 /dev/sdb1：
- 运行 lsblk -f 和 sudo blkid，确认目标设备未被挂载、无重要数据、不是当前系统盘
- 确保该分区已用 LUKS2 初始化：sudo cryptsetup luksFormat --type luks2 /dev/sdb1
- 密钥文件绝不能放在未加密的 /boot 分区里；推荐存于 /etc/luks-keys/（该目录需随根文件系统一同加密）或离线保管
生成并注入密钥文件
密钥文件是随机二进制数据，它绑定到 LUKS 容器的第二个密钥槽，与你设置的原始密码并存，互不影响：
- 创建密钥：sudo mkdir -p /etc/luks-keys && sudo dd if=/dev/urandom of=/etc/luks-keys/sdb1.key bs=512 count=4
- 设权限：sudo chmod 0400 /etc/luks-keys/sdb1.key（仅 root 可读）
- 注入容器：sudo cryptsetup luksAddKey /dev/sdb1 /etc/luks-keys/sdb1.key（提示时输入原始密码）
- 验证是否生效：sudo cryptsetup luksDump /dev/sdb1 | grep "Slot.*enabled"，应看到至少两个启用槽位
配置 crypttab + fstab 实现自动挂载
系统通过 /etc/crypttab 在启动早期识别加密设备并调用密钥解密，再由 /etc/fstab 挂载映射后的设备：
- 查 UUID：sudo blkid /dev/sdb1，复制类似 UUID=1a2b3c4d-... 的值
- 编辑 /etc/crypttab，追加一行：
sdb1_crypt UUID=1a2b3c4d-... /etc/luks-keys/sdb1.key luks,discard
（sdb1_crypt 是你自定义的映射名，将出现在 /dev/mapper/ 下） - 编辑 /etc/fstab，追加一行：
/dev/mapper/sdb1_crypt /mnt/data ext4 defaults,x-systemd.device-timeout=30 0 2
（请先创建 sudo mkdir -p /mnt/data） - 更新 initramfs：sudo update-initramfs -u（Debian/Ubuntu）或 sudo dracut -f（RHEL/Fedora）
验证与故障排查
重启前可手动测试流程是否连贯：
- 模拟解密：sudo cryptsetup open --key-file /etc/luks-keys/sdb1.key /dev/sdb1 sdb1_crypt
- 检查映射：ls /dev/mapper/sdb1_crypt 应存在
- 尝试挂载：sudo mount /dev/mapper/sdb1_crypt /mnt/data，然后 df -h 查看是否成功
- 若启动后未挂载，检查日志：journalctl -b | grep -i crypt，常见问题包括密钥路径错误、权限不对、UUID 不匹配或 initramfs 未更新
