+a 使文件仅支持追加写入（>>），禁止覆盖（>）、截断、修改，但不阻止删除或重命名；需配合目录权限、logrotate 策略等实现完整日志保护。
用 chattr +a 给日志文件加“追加锁”，核心是让文件只能用 >> 追加内容，禁止覆盖、截断、删除或重命名——但要注意：+a 本身不防删，它只限制写入方式；真正阻止 rm 的是 +i。不过在日志场景中，+a 配合合理目录权限和运维习惯，能有效防止误覆写和意外清空。
为什么 +a 能满足日志类需求
+a 属性作用于文件系统 VFS 层，对 open() 系统调用施加限制：只允许带 O_APPEND 标志打开（即 >>），拒绝 O_TRUNC（>）、O_RDWR 直接修改等操作。这意味着：
-
echo "msg" >> app.log—— 允许 -
echo "msg" > app.log—— 失败（截断被拒） -
cat /dev/null > app.log—— 失败 -
truncate -s 0 app.log—— 失败 -
rm app.log—— 仍会成功（+a 不拦截 unlink） -
mv app.log old.log—— 仍会成功
正确设置 +a 的操作步骤
以应用日志 /var/log/myapp/current.log 为例：
- 确保文件存在且属主为日志写入用户（如
myapp或syslog） - 用 root 执行：
sudo chattr +a /var/log/myapp/current.log - 验证是否生效：
lsattr /var/log/myapp/current.log→ 应显示-----a---------- - 测试追加：
echo "$(date) INFO: started" >> /var/log/myapp/current.log（应成功） - 测试覆盖：
echo "reset" > /var/log/myapp/current.log（应报 Permission denied）
单靠 +a 不够？补上关键防护点
因为 +a 不拦 rm，生产中需组合使用：
-
目录层面加固：给日志目录设
chmod 755并确保只有日志服务用户有写权限；普通运维账号无权rm目录内文件 -
配合 logrotate 安全轮转：在
logrotate配置中启用create 644 myapp myapp和copytruncate要谨慎；推荐用prerotate+chattr -a、postrotate+chattr +a动态管理属性 -
敏感目录整体加 +a（递归）：如整个日志子目录持续写入，可
sudo chattr -R +a /var/log/myapp/—— 此时目录本身也不能被rm或mv（这是 +a 对目录的特殊行为） -
极端保护场景考虑 +i：若需彻底防删（如审计日志归档后），改用
chattr +i，但必须手动-i后才能轮转或追加
常见误区提醒
别踩这几个坑：
-
chattr +a在 XFS、Btrfs 上可能无效或行为异常，仅推荐用于 ext4 文件系统 - 普通用户无法执行
chattr，必须 root 或具备CAP_LINUX_IMMUTABLE能力 -
lsattr查看时，目录显示-----a----------表示已启用追加模式；若看到e（extents）是正常文件系统标志，不是错误 - 不要对正在被 tail -f 监控的文件频繁加/减 +a，可能引发部分工具短暂异常（建议在维护窗口操作）
