Linux挂载点安全需遵循最小权限原则，通过noexec、nosuid、nodev、ro等mount参数限制执行、提权和设备访问，并在/etc/fstab中显式配置避免defaults隐含风险，结合SELinux/AppArmor实现纵深防御。
Linux系统中挂载点的权限控制和mount命令参数配置，直接关系到文件系统安全性与运行稳定性。不当设置可能导致越权访问、敏感数据泄露或拒绝服务风险。核心原则是：最小权限挂载、显式禁用危险选项、结合文件系统自身特性做细粒度约束。
挂载点基础权限隔离策略
挂载点本身不继承父目录权限，但其挂载后的行为受挂载参数与底层文件系统共同影响。关键在于控制谁可以访问、是否可执行、是否可修改：
- noexec：禁止在该挂载点执行任何二进制文件或脚本，适用于/tmp、/var/tmp等临时目录；
- nosuid 和 noatime：禁用SUID/SGID位生效，防止提权攻击；noatime减少磁盘I/O并避免时间戳暴露访问痕迹；
- nodev：禁止解释设备文件（如/dev/sda1），防止用户通过挂载点创建或访问设备节点；
- 对只读服务目录（如/web/static）应使用 ro 挂载，配合 bind 和 remount 实现运行时锁定。
Mount命令常用安全参数组合示例
生产环境中应避免裸用默认参数。推荐按用途分类配置：
-
普通数据盘（如 /data）：
mount -t ext4 -o defaults,noatime,nodiratime,nosuid,nodev /dev/sdb1 /data； -
临时存储（如 /tmp）：
mount -t tmpfs -o size=2G,mode=1777,noexec,nosuid,nodev tmpfs /tmp； - 网络共享（NFS）：强制指定 sec=sys 或 sec=krb5p，添加 noexec,nosuid,nodev,hard,intr,rsize=8192,wsize=8192；
-
容器或沙箱挂载：使用 bind + ro + nosuid,noexec,nodev 组合，例如：
mount --bind --read-only --make-private /host/config /container/config。
/etc/fstab中持久化安全配置要点
fstab是系统启动自动挂载依据，错误配置会导致无法开机或安全降级：
- 第4字段（options）必须显式列出安全选项，不可依赖defaults（它隐含exec,suid,dev）；
- 对非root用户可写的挂载点（如USB设备），应在fstab中加入
users,noauto,umask=022并配合udev规则限制自动挂载； - 启用
x-systemd.requires-mounts-for=等systemd挂载依赖，确保依赖服务启动前完成安全挂载； - 定期检查
findmnt -D输出，比对fstab与实际运行状态是否一致，防止手工mount绕过策略。
进阶防护：结合SELinux/AppArmor与挂载约束
仅靠mount参数不足以应对高级威胁，需与MAC框架协同：
- SELinux下，为挂载点打上专用上下文（如
chcon -t svirt_sandbox_file_t /mnt/container_data），再配合context=...mount选项固化； - AppArmor可通过
mount deny规则阻止特定路径挂载，或用capability sys_admin,限制挂载权限范围； - 对加密卷（LUKS+ext4），应在解密后立即以
noexec,nosuid,nodev挂载，并关闭内核密钥环缓存（keyctl clear @u）； - 监控
/proc/mounts与dmesg | grep -i "mount\|security"，及时发现异常挂载行为或策略冲突告警。
