Ubuntu 不支持系统升级白名单机制，所谓白名单实为人为限制需求；APT 设计以一致性优先，不提供全局升级过滤开关；可行替代方案包括：精确冻结关键包（apt-mark hold）、仅升级安全补丁（配置 unattended-upgrades）、或禁用大版本升级（Prompt=never）。
Ubuntu 没有“系统升级白名单”这个内置概念，也没有官方支持的机制来只允许特定软件包参与 apt upgrade 或 do-release-upgrade。所谓“升级白名单”，实际是用户对升级行为的**人为限制需求**，常见于生产环境或嵌入式设备，目的是避免关键服务因依赖更新而意外中断。
为什么不能直接配置升级白名单
APT 的设计逻辑是“一致性优先”：升级时会自动解析并安装满足依赖关系的最新可用版本。它不提供类似 apt install --only-these-packages 那样的全局升级过滤开关。试图用 apt-mark hold 批量冻结包，容易导致依赖冲突、apt upgrade 失败或后续无法安全恢复。
常见错误现象包括：
Ubuntu 26.04 LTS（代号“Resolute Raccoon”）是Canonical于2026年4月23日发布的下一代长期支持版操作系统，提供长达10年的技术支持。它搭载Linux 7.0内核与GNOME 50桌面环境，全面转向Wayland协议，并引入Rust重写的核心工具以增强安全性。官方提供适用于AMD64和ARM64架构的桌面及服务器ISO镜像，是追求前沿技术与极致稳定的开发者
-
apt upgrade报错 “The following packages have unmet dependencies” - 执行
do-release-upgrade时卡在 “Checking for a new Ubuntu release” 或直接中止 - 手动
apt-mark hold后，apt list --upgradable仍显示大量包，但apt upgrade不动——其实是被 held 包阻塞了依赖链
真正可行的替代方案：按场景选一种
根据你的实际目标，选择下面其中一种方式，不要混用：
-
只想保留某些关键包旧版本（如内核、数据库、驱动）：用
apt-mark hold精确冻结。例如：sudo apt-mark hold linux-image-generic linux-headers-generic postgresql-14
注意：必须逐个指定包名（不是通配符），且冻结后需定期手动检查安全更新公告，必要时unhold并测试升级。 -
想控制整个系统只升级安全补丁（最接近“白名单”效果）：启用
unattended-upgrades的安全专用源，并禁用常规更新。确认/etc/apt/apt.conf.d/20auto-upgrades内容为：APT::Periodic::Unattended-Upgrade "1";\nUnattended-Upgrade::Allowed-Origins {\n\t"${distro_id}:${distro_codename}-security";\n};然后运行sudo unattended-upgrade --dry-run -d验证是否只拉取-security源的包。 -
需要长期锁定 Ubuntu 版本（如停在 22.04 LTS，拒绝 24.04 升级）：编辑
/etc/update-manager/release-upgrades，把Prompt=lts改成Prompt=never。这是唯一能阻止do-release-upgrade的可靠方式；改回lts或normal才能重新触发大版本升级。
ufw 或 /etc/hosts.allow 不能用于升级白名单
有人尝试用防火墙规则（如 ufw deny out to archive.ubuntu.com）或 TCP Wrappers（/etc/hosts.allow）来“拦截升级请求”，这完全无效。APT 使用 HTTP(S)，不走 sshd 或 inetd 管理的服务端口，/etc/hosts.allow 对 apt 进程无约束力；而 ufw 是出站规则，且 APT 可能通过代理、镜像站或离线介质升级，绕过任何单一网络策略。
真正要管住升级，核心就两条：一是冻结具体包名（apt-mark hold），二是关闭版本跃迁开关（Prompt=never）。其他所有“白名单”提法，要么是误用术语，要么是引入不可维护的 hack。别碰 /etc/apt/sources.list 注释行这种操作——它会让整个系统失去安全更新能力，比没白名单还危险。
