规范团队文件操作需全链路锁定操作主体、时间、对象及动作，通过最小权限收敛、内核级审计、前置拦截、自动化备份与刚性流程实现机制兜底。
规范团队日常文件操作，核心是把“谁、在什么时间、对哪些文件、做了什么动作”全链路锁定，同时让高危操作无法随手触发。不是靠人盯人，而是靠机制兜底。
权限与归属必须收敛到最小粒度
很多误删和越权修改，根源是目录或文件权限太宽、属主不明确。比如 /var/log 设为 777，普通用户就能清空日志；/etc/nginx/conf.d/ 属主是 nobody，配置就被随意覆盖。
- 用 find /etc /var/log /opt -type d -perm /002 -ls 扫描其他用户可写的目录
- 关键路径硬性校验：/etc/shadow 必须是 600、/root/.ssh 必须是 700、/etc/hosts 必须是 644
- 业务数据目录（如 /data/app）统一设为 750 + 指定组，只允许运维组读写，禁用 world-writable
- 所有含密码、密钥、连接串的配置文件，权限不得高于 600，属主必须是服务运行用户（如 nginx、mysql）
操作行为全程留痕且不可篡改
仅靠 history 或 sudo 日志远远不够——它们易被清除、绕过、伪造。真正有效的审计必须从内核层捕获真实调用。
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 启用 auditd，监控
/usr/bin/rm、/usr/bin/mv、/usr/bin/dd等高危命令执行：-w /usr/bin/rm -p xa -k cmd_rm - 配置
sudoers强制记录：Defaults logfile="/var/log/sudo.log", log_input, log_output - 锁定日志文件防删改：
chattr +a /var/log/audit/ /var/log/sudo.log（追加只写）或+i（完全不可变，需 root 解锁） - SSH 会话启用
ForceCommand或script全量录屏，输出存入独立审计服务器
防误删必须前置拦截，而非事后补救
等 rm -rf / 执行完再报警，已经晚了。要让危险动作在敲下回车前就“卡住”。
- 全局设置别名：
alias rm='rm -I'（大写 I，删除 3 个以上文件强制确认），alias mv='mv -i' - 禁止直接使用
rm -f和通配符组合，改用find /path -name "*.log" -mtime +7 -delete并加-print预览 - 生产环境禁用
NOPASSWD: ALL，对reboot、systemctl stop、dd等命令单独白名单+二次密码确认 - 重要目录（如 /data、/etc）添加
chattr +a或+i，非 root 无法删除或覆盖
备份与操作流程必须嵌入工作流
没有备份的操作，等于裸奔。但备份不能只存在脑子里，得是自动化、可验证、带版本的刚性环节。
- 所有配置变更前，自动提交至 Git：
git add /etc/nginx && git commit -m "nginx conf update by $USER" - 敏感目录（/etc、/var/www、/data）每日快照，保留 7 天，脚本中加入
rsync -av --delete-before前先ls -lR > /backup/pre_$(date +%F).log - 上线脚本强制包含
set -euo pipefail，变量未定义、命令失败、管道中断立即退出，不继续执行后续破坏性步骤 - 临时清理任务（如日志轮转）全部走
at now + 2 minutes，给自己留出“后悔窗口”
