Linux中真正让文件“不可修改”的隐藏属性是chattr +i设置的immutable标志，作用于inode层，连root也无法覆盖、删除、重命名或写入，需sudo执行并用lsattr验证含i标志。
Linux 中真正让文件“不可修改”的隐藏属性，不是靠改名或权限掩码，而是用 chattr +i 设置 immutable（不可变）标志。它作用于文件系统 inode 层，连 root 都无法覆盖、删除、重命名或写入，是内核级硬锁定。
怎么设置不可修改属性
必须用 root 或 sudo 执行：
-
sudo chattr +i /path/to/file—— 加锁 -
sudo lsattr /path/to/file—— 确认输出含 i（如----i--------e--） - 普通用户执行会提示
Operation not permitted，说明已生效
哪些文件适合加 i 属性
只用于长期静态、关键且修改需人工强确认的系统文件：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
-
/etc/passwd、/etc/shadow、/etc/group—— 身份认证基线 -
/etc/sudoers—— 提权控制核心，一行错误就可能失权 -
/boot/grub2/grub.cfg—— 启动配置，防持久化后门 -
/etc/fstab—— 挂载规则，误改会导致系统无法启动
操作前必须做的三件事
-
先备份：加锁后连
cp都会失败，例如cp /etc/sudoers /backup/sudoers.$(date +%s) -
查文件系统：运行
df -T /path，确保是 ext4 或支持i的 xfs；NTFS、FAT、NFS 不支持 -
看当前属性：用
lsattr /path/to/file确认没冲突（比如已有a或i），再用fuser -v /path确保无进程占用
解锁和编辑的正确流程
加锁不是一劳永逸，维护时必须严格走三步：
-
sudo chattr -i /path/to/file—— 先解锁 - 编辑文件（用
visudo编辑 sudoers，避免语法错误） -
sudo chattr +i /path/to/file—— 立即重锁
跳过任一环节，都可能导致服务异常（如 nginx reload 失败）或留下安全空档。
