在银河麒麟V10上设置软件白名单需先确认kysec模块已启用，再通过kysec_set命令、图形界面导入或修改配置文件三种方式添加可信路径，确保关键程序绕过安全拦截正常运行。
在银河麒麟V10上设置软件白名单，是为了让特定程序绕过系统级安全拦截（如kysec模块的执行限制），确保关键业务软件能正常启动运行。这一步骤在军工、金融等强管控环境中尤为关键，否则双击图标无响应、命令行报“Permission denied”或弹出“未授权程序”提示都属典型表现。
确认kysec安全模块是否启用
kysec是麒麟V10内置的强制访问控制模块，软件白名单机制依赖它生效。先验证其状态：
执行 kysec_status 命令，若输出含 status: enabled，说明已启用；若提示命令未找到或显示disabled，则无需配置白名单，跳过后续步骤。
【必须确认】 若kysec未启用却强行添加白名单规则，会导致规则冗余且无法触发，浪费排查时间。
方法一：使用kysec_set命令添加可执行白名单
这是最直接、生产环境推荐的方式，适用于单个可执行文件路径明确的场景。
第一步：获取目标程序的绝对路径
例如要放行/opt/myapp/bin/appserver，需确保路径准确——不能写成~/myapp或相对路径，【路径错误将导致白名单完全失效】。
第二步：执行白名单注册命令sudo kysec_set -r -n exectl -v verified /opt/myapp/bin/appserver
其中 -r 表示注册策略，-n exectl 指定策略类型为“可执行文件控制”，-v verified 表示信任该文件哈希值。
第三步：验证是否生效
执行 kysec_list -n exectl，检查输出中是否包含你刚添加的路径。若存在，重启终端后即可双击或命令行直接运行该程序。
方法二：通过图形界面批量导入白名单（仅限桌面版SP3 2303）
适合需要一次性放行多个程序、或运维人员不熟悉命令行的场景，但仅适用于麒麟V10 SP3 2303桌面版。
打开“安全中心”→“应用防护”→“执行控制”→点击右下角“导入白名单”按钮。
准备一个纯文本文件，每行一个完整路径，例如：/usr/bin/firefox/opt/thunderbird/thunderbird
保存为UTF-8编码的.txt文件，再在界面中选择该文件并确认导入。
注意：导入后需手动点击右上角“应用策略”按钮，否则规则处于待生效状态，程序仍被拦截。
方法三：修改kysec策略配置文件（高级用户适用）
当需对接自动化部署流程，或要对一类程序（如所有/usr/local/bin/下的脚本）统一放行时，可编辑策略源文件。
编辑策略配置：sudo vim /etc/kysec/policy/exectable_policy.conf
在 [verified] 段落下添加路径规则，支持通配符：/usr/local/bin/*/opt/mytools/**/*.sh
保存后执行 sudo kysec_reload 重载策略。此操作会立即生效，无需重启服务。
【关键提醒】 配置文件语法敏感，多一个空格或少一个斜杠都会导致kysec服务启动失败，建议先备份原文件再修改。
