核心是通过/etc/fstab挂载选项实施最小权限原则，禁用exec、suid、dev三类高危能力：noexec阻断恶意代码执行，nosuid防止权限提升，nodev杜绝设备文件滥用，优先应用于/tmp等用户可写目录，并以显式白名单替代defaults。
服务器文件系统挂载选项安全加固的核心，是通过 /etc/fstab 中的 mount options 限制潜在攻击面，防止恶意代码执行、权限提升和设备滥用。关键不在“加功能”，而在“收权限”——用明确、最小化的选项替代模糊的 defaults。
优先禁用三类高危能力：noexec、nosuid、nodev
这三个选项应作为绝大多数非根目录（尤其是临时目录、共享目录、用户可写目录）的标配：
- noexec：禁止在该挂载点下运行任何二进制文件或脚本，有效阻断攻击者上传并执行恶意 payload 的路径；
-
nosuid：忽略文件上的 SUID/SGID 位，防止普通用户通过 setuid 程序提权（如被篡改的
sudo或passwd）； -
nodev：不解析挂载点内的字符/块设备文件（如
/dev/sda），避免攻击者伪造设备节点进行内核级攻击或绕过访问控制。
例如加固 /tmp：tmpfs /tmp tmpfs rw,nosuid,nodev,noexec,size=2G 0 0
按场景选择只读与同步策略
并非所有分区都需要读写权限。对静态内容或关键系统卷，应主动降权：
- ro（read-only）：适用于镜像挂载（如 ISO）、配置模板库、归档日志卷，彻底杜绝误删或篡改；
- sync：强制每次写操作立即落盘，适合 WAL 日志盘等强一致性要求场景，但会显著降低吞吐；
- noatime：跳过更新文件访问时间戳，减少 I/O 开销且延长 SSD 寿命，几乎所有场景都建议启用（包括 root 分区）。
组合示例（CD-ROM 挂载）：/dev/sr0 /mnt/cdrom iso9660 ro,noatime,noexec,nosuid,nodev 0 0
规避 defaults 隐患，坚持白名单式配置
defaults 实际包含 rw,suid,dev,exec,auto,nouser,async 等多项，其中 suid、dev、exec 正是安全加固要关闭的项。依赖 defaults,noexec 这类“覆盖写法”易出错且不可靠。
- 改为显式声明所需能力，如：
rw,noatime,nosuid,nodev,noexec,uid=1000,gid=1000,umask=002； - 对 NFS 或 CIFS 等网络文件系统，额外启用
sec=krb5p（Kerberos 加密）或hard,timeo=600（容错重试）； - 修改
/etc/fstab后务必测试：sudo mount -o remount /target/path，再用findmnt -o SOURCE,TARGET,FSTYPE,OPTIONS /target/path验证生效。
临时文件系统（tmpfs）必须设限
systemd 在 RHEL 8/Kylin V10 等系统中会隐式挂载 /tmp 为 tmpfs，但默认无大小限制，极易引发内存争抢甚至 OOM Kill。
- 务必在
/etc/fstab中明确定义大小，例如：size=512M或size=1G； - 若服务器内存紧张（如 Kubernetes 节点），建议改用磁盘后端挂载，并同样启用
noexec,nosuid,nodev； - 注意：
/var/tmp和/dev/shm同样需按相同原则加固，不可遗漏。
