chattr +i 对运行中的二进制文件失败，因内核禁止对已映射为可执行代码的文件设置不可变属性；必须先停止相关进程、清除残留映射，再以 root 执行才生效。
在 Linux 中，chattr +i 无法直接作用于正在运行的二进制可执行文件（如进程的主程序），因为内核禁止对已映射为可执行代码的文件设置不可变（immutable）属性。这是出于安全和稳定性的强制限制——防止运行中程序被意外或恶意篡改，同时也避免因文件锁定导致进程异常终止。
为什么 chattr +i 对运行中的二进制文件会失败？
当你执行 chattr +i /path/to/binary 时，若该二进制正被某个进程加载并执行（即其 inode 被映射到内存作为 text segment），系统会返回错误：
chattr: Operation not permitted while file is open for writing or execution
根本原因在于：Linux 内核在 setattr 系统调用中检查了 inode->i_state & I_MAP_DIRTY 和执行映射状态，一旦发现文件页已被只读映射为可执行段（如通过 mmap(...PROT_READ|PROT_EXEC...)），就拒绝设置 FS_IMMUTABLE_FL 标志。
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
真正可行的锁定方式（分阶段操作）
要让 chattr +i 成功生效，必须确保目标二进制文件处于“未被任何进程打开执行”的状态。实际操作需按以下顺序进行：
-
停止所有使用该二进制的进程：包括服务进程、守护进程、后台作业等。可用
lsof /path/to/binary或fuser -v /path/to/binary检查是否被占用。 -
确认无内存映射残留：即使进程退出，某些情况下（如 core dump 或调试器残留）可能仍有映射。执行
sync && echo 3 > /proc/sys/vm/drop_caches（仅用于测试环境，生产慎用）可清理页缓存，但更可靠的是重启后操作。 -
以 root 权限执行 chattr：运行
sudo chattr +i /path/to/binary。此时若无进程打开该文件，命令将静默成功。 -
验证锁定效果：尝试
rm、mv、echo >或再次chattr -i，均应提示Operation not permitted；同时可用lsattr /path/to/binary确认输出含i标志。
补充说明：+i 锁定的是文件本身，不是进程
chattr +i 保护的是文件的 inode 元数据和内容不被修改、删除或重命名，它不影响已经加载进内存的进程继续运行。也就是说：
- 已运行的进程不会因后续加
+i而中断（只要加锁前没被写入）； - 但下次系统重启或手动重启服务时，若二进制已被锁定，则无法被覆盖升级——部署新版本前必须先
chattr -i； - 该属性对符号链接无效，只作用于实际文件；ext4/xfs 等主流文件系统支持，但某些网络/虚拟文件系统（如 NFS、tmpfs）不支持
i属性。
替代思路：运行时防护 ≠ 文件级锁定
若目标是防止关键程序被篡改（例如安全审计场景），单纯依赖 chattr +i 并不足够。建议组合使用：
-
启动前校验：用
sha256sum记录原始哈希，在服务启动脚本中校验一致性； -
文件完整性监控：部署
aide或tripwire定期扫描关键二进制； -
最小权限运行：服务以非 root 用户运行，并通过
sudo或 capabilities 限制其对自身二进制的写权限； - 启用内核安全模块：如 SELinux 或 AppArmor，可策略性禁止任意进程修改指定路径下的可执行文件。
