安全编辑 CentOS 7 的 /etc/fstab 需先备份（sudo cp /etc/fstab /etc/fstab.bak），再用 sudo vim 编辑；确认设备 UUID（blkid）和挂载点目录存在（mkdir -p），每行参数间逗号无空格，关键选项如 nofail、ro、noexec 需按需显式添加；修改后必须执行 sudo mount -a 测试无误，再 reboot。
修改 CentOS 7 的文件系统挂载持久化配置，核心就是改 /etc/fstab 文件。改错一行就可能卡在开机界面，所以不能只“写进去就完事”，得验证、备份、选对参数。
怎么安全编辑 /etc/fstab
直接用 vi /etc/fstab 编辑风险高，出错后系统可能无法启动。必须先备份再改：
-
sudo cp /etc/fstab /etc/fstab.bak—— 这步不能跳，恢复就靠它 - 用
sudo vim /etc/fstab编辑，别用普通用户权限，否则保存失败 - 新增条目前，先确认设备存在且可读：运行
lsblk -f或blkid，复制准确的UUID=...，别手敲设备名如/dev/sdb1 - 每行末尾不要有多余空格或 Tab，
fstab对空白符敏感，尤其第六列后多一个空格可能让mount -a报错
挂载选项 defaults 不够用，常见需求怎么填
defaults 是常用起点，但生产环境往往需要更细的控制。比如只读挂载、容错启动、禁止执行等，都得显式加参数：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 要挂为只读：把
defaults换成ro，或追加,ro（注意逗号不加空格） - 磁盘可能拔掉或故障（如外接 USB 盘、NFS 服务暂不可达）：必须加
,nofail，否则mount -a失败会导致系统卡在启动阶段 - 禁止执行二进制文件（增强安全）：加
,noexec，但别用在/或/usr这类根路径下，否则命令直接失效 - 避免 suid 提权风险：加
,nosuid，适用于挂载用户上传目录（如/var/www/uploads） - 如果挂的是 NTFS 分区（比如 Windows 共享盘），文件系统类型必须写
ntfs-3g，且提前装包：yum install ntfs-3g
改完怎么测试，不重启就知道对不对
改完 /etc/fstab 后，千万别直接 reboot。用两条命令快速验证：
-
sudo mount -a—— 重新加载所有未挂载项，成功则无输出；报错会明确告诉你哪一行、哪个设备、什么错误（比如unknown filesystem type 'xfs'说明没装xfsprogs） -
sudo findmnt -t ext4,xfs,ntfs-3g（按需替换类型）—— 看目标挂载点是否真出现在输出里，且OPTIONS列包含你写的参数（如ro,nofail） - 如果
mount -a成功但df -h看不到挂载点，检查挂载点目录是否存在、权限是否为drwxr-xr-x（755），空目录就行，不能是软链接或已挂载状态
误操作导致无法启动，急救怎么救
如果已经 reboot 卡在黑屏或 emergency mode，说明 fstab 错了。此时：
- 在 GRUB 启动菜单按
e，找到linux16行末尾，加systemd.unit=emergency.target，Ctrl+X 启动 - 进系统后先
mount -o remount,rw /把根分区设为可写 - 用
cat /etc/fstab.bak查看备份内容，再cp /etc/fstab.bak /etc/fstab覆盖修复 - 最后
exit重启，或者手动mount -a验证新配置
真正容易被忽略的不是语法，而是 UUID 和挂载点目录的“存在性时序”：UUID 必须来自当前设备（blkid 输出），挂载点目录必须在 fstab 修改前就 mkdir -p 好——这两步漏掉，mount -a 就会静默失败或报错。
