必须四层同步禁用：systemd层屏蔽target并设HandleKeyCombination=ignore；内核层禁用ctrl-alt-del和sysrq；init层清理inittab或upstart配置；物理层关闭KVM/BIOS热键透传。
必须四层同步禁用，只改 logind.conf 或只 mask ctrl-alt-del.target 都不保险——物理直连、KVM 控制台、紧急模式下仍可能触发重启。
systemd 层：屏蔽 target + 忽略热键事件
这是最常被操作的一层，但单独做无效。关键不是“改配置”，而是切断 systemd 路径上的所有激活可能：
-
sudo systemctl mask -f ctrl-alt-del.target：强制将该 target 指向/dev/null，防止任何服务或手动调用激活它 - 编辑
/etc/systemd/logind.conf，确保有HandleKeyCombination=ignore（取消注释并设值） - 执行
sudo systemctl daemon-reload && sudo systemctl restart systemd-logind，否则修改不生效 - 验证：
systemctl is-enabled ctrl-alt-del.target应返回masked；loginctl show --property=HandleKeyCombination应输出ignore
内核层：关闭 ctrl-alt-del 和 sysrq 响应
当系统未进入完整用户态（如卡在 initramfs、emergency mode、KVM 直连控制台），systemd 根本没运行，此时全靠内核响应。绕过这一层，Ctrl+Alt+Del 仍可硬重启：
- 写入
kernel.ctrl-alt-del = 0到/etc/sysctl.conf，再运行sudo sysctl -p - 同时禁用
sysrq：echo 'kernel.sysrq = 0' | sudo tee -a /etc/sysctl.conf && sudo sysctl -p（否则Alt+SysRq+B仍能强制重启） - 验证：
sysctl kernel.ctrl-alt-del kernel.sysrq输出两个值都应为0
init 层：清理 inittab 或 upstart 配置（旧系统/兼容场景）
CentOS 6/RHEL 6/Oracle Linux 等 SysV 或 Upstart 系统不走 systemd，ctrl-alt-del.target 根本不存在，必须从 init 入口处理：
- 检查是否存在
/etc/inittab，确认含ca::ctrlaltdel:的行已被注释或删除；然后运行sudo init q - Oracle Linux 或 Ubuntu 14.04 等使用 Upstart：编辑
/etc/init/control-alt-delete.conf，注释掉start on control-alt-delete行，再sudo init q - 注意：不要直接删
/usr/lib/systemd/system/ctrl-alt-del.target文件本身——它是软链接到reboot.target，删了会导致reboot命令失效
物理与接入层：KVM/BIOs/USB 热键透传
很多“禁用失败”案例其实发生在虚拟化或远程管理层面。KVM 切换器、iDRAC、iLO、IPMI 控制台常把 Ctrl+Alt+Del 当作透传指令直接发给宿主机，systemd 层完全收不到：
- 检查 KVM 切换器设置，关闭“热键透传”或改用其他组合键（如
Ctrl+Shift+F12） - 进 BIOS/UEFI，查找 USB Keyboard Hotkey、Fast Boot、Legacy USB Support 等选项，关闭相关热键支持
- 若用 IPMI，登录 Web 界面检查虚拟媒体或远程控制设置，禁用键盘热键映射
真正有效的禁用，是让按键在任意入口（TTY、登录屏、KVM、紧急 shell）按下后——不写日志、不闪屏、不登出、不重启。少一层，就留一个物理绕过通道。尤其别信“改完 logind.conf 就完事”的说法，那是桌面环境的幻觉。
