必须通过kysec白名单机制放行，先执行kysec_status确认启用，再用which或ps查真实绝对路径，最后用sudo kysec_set -r -n exectl -v verified /path/to/app注册，或修改/etc/kysec/policy/exectable_policy.conf并kysec_reload。
您在银河麒麟安全中心里运行某款专用软件时，反复弹出“未授权程序”“访问被拦截”或双击无响应等提示，说明该软件已被KYSEC安全模块识别为高风险应用并实施了执行阻断、联网拦截或后台冻结——此时必须通过白名单机制彻底放行，而非简单关闭防火墙或权限开关。
确认KYSEC模块已启用并获取软件绝对路径
第一步：打开终端，执行 kysec_status 命令。若输出中不含 status: enabled，则白名单机制未生效，后续所有操作无效，直接终止流程。
第二步：定位软件真实可执行文件路径。不能用桌面快捷方式或别名，必须是完整绝对路径。例如WPS主程序是 /usr/bin/wps，某政务系统客户端可能是 /opt/govapp/client。执行 which 软件名 或 ps aux | grep 软件名 查PID后用 ls -l /proc/PID/exe 反查路径。
【路径错误将导致白名单完全失效】
使用kysec_set命令注册可信执行策略
方法一：单文件精准放行（推荐）
执行命令：sudo kysec_set -r -n exectl -v verified /opt/govapp/client（将末尾路径替换为你上一步确认的真实路径）。
其中 -r 表示注册、-n exectl 指定策略类型为“可执行控制”、-v verified 表示信任该文件哈希值，系统会自动计算并绑定校验。
方法二：批量放行同一目录下全部可执行文件
若软件含多个二进制文件（如 /opt/myapp/bin/ 下有 server、cli、agent），可先创建软链接统一入口，再对链接路径注册；或改用配置文件方式（见下一节）。
修改kysec策略配置文件实现持久化放行
① 打开策略文件：sudo vim /etc/kysec/policy/exectable_policy.conf
② 定位到 [verified] 段落，在其下方新增一行路径规则。支持通配符，例如：/opt/govapp/bin/* 或 /usr/local/mytool/
③ 保存退出后，执行 sudo kysec_reload 重载策略。不执行此步，修改不生效。
④ 验证是否加载成功：kysec_list -n exectl | grep govapp，应能输出匹配行。
同步解除关联限制项
仅放行执行权限还不够——若该软件需联网、后台常驻或访问特定目录，还需在安全中心中补全对应策略：
进入「安全中心」→「应用保护」→ 找到该软件 → 点击「权限设置」→ 在「网络访问」中勾选「允许联网」→ 在「后台行为」中勾选「允许后台运行」和「允许自启动」→ 在「隐私目录」中按需开启「文档」「图片」等访问开关。
若软件依赖系统服务（如 systemd user service），还需前往「设置」→「隐私」→「后台应用」→「服务保活」中添加对应服务名并启用「永久保活」。
