普通用户禁用终端需三步：一是移除/usr/bin/ukui-terminal等执行权限（chmod 750）；二是禁用快捷键并重命名.desktop文件隐藏菜单入口；三是清理shell配置并可选锁定用户shell为/sbin/nologin。
在银河麒麟桌面系统中，普通用户能随意打开终端应用（如UKUI Terminal、GNOME Terminal）意味着可执行任意命令，存在提权、删库、改配置等高风险行为。必须切断其启动图形终端的能力，而非仅限制终端内命令。
禁用终端程序的执行权限
终端应用本质是可执行二进制文件，直接移除普通用户的执行位是最底层、最可靠的阻断方式。
执行命令查看当前终端程序路径与权限：ls -l /usr/bin/ukui-terminal /usr/bin/gnome-terminal。
若输出中权限包含 【x】（如 -rwxr-xr-x），则运行：sudo chmod 750 /usr/bin/ukui-terminal /usr/bin/gnome-terminal。
这一步将其他用户（others）的执行权限（x）彻底清除，只保留 root 和所属组可执行——而普通用户既非 root 也通常不在 terminal 组中。
验证修改结果：ls -l /usr/bin/ukui-terminal，确认末三位权限显示为 【---】 而非 【r-x】 或 【rwx】。
移除桌面环境中的终端启动入口
即使二进制被锁，用户仍可能通过右键菜单、快捷键（Ctrl+Alt+T）或“开始菜单→所有应用”调出终端。需同步清理图形界面层的触发点。
方法一：屏蔽快捷键响应
打开「控制中心」→「键盘」→「快捷键」→「自定义快捷键」，查找并禁用「打开终端」对应条目；若无此条目，说明快捷键未绑定，跳过此步。
方法二：隐藏开始菜单入口
执行：sudo mv /usr/share/applications/org.ukui.terminal.desktop /usr/share/applications/org.ukui.terminal.desktop.disabled。
该操作重命名桌面入口文件，使其不被UKUI菜单扫描识别，不影响系统其他功能。
注意：GNOME Terminal 的 .desktop 文件路径为 /usr/share/applications/org.gnome.Terminal.desktop，如需一并隐藏，同步执行相同重命名操作。
阻止用户通过命令行间接调用终端
普通用户可能尝试用 xterm、konsole 等替代终端，或通过脚本启动。需覆盖其 shell 启动时的默认终端行为。
第一步：检查用户默认 shell 配置文件
以目标用户身份执行：ls -a ~ | grep -E "^\.(bashrc|zshrc|profile)"，确认是否存在自动调用终端的别名或函数。
第二步：清空可疑自动启动逻辑
对每个匹配文件，执行：grep -n "xterm\|gnome-terminal\|ukui-terminal" ~/.bashrc；若返回行号，用 nano ~/.bashrc 手动删除对应行。
第三步：锁定用户 shell 为不可交互模式（可选但强烈推荐）
执行：sudo usermod -s /sbin/nologin username。
【该操作会立即禁止用户通过SSH、图形登录等方式获得shell会话，仅保留其文件所有权和cron任务】。
