最安全可靠的方式是systemctl mask -f ctrl-alt-del.target，强制链接至/dev/null并配合HandleKeyCombination=ignore及内核级kernel.ctrl-alt-del=0三重加固，覆盖TTY、登录界面与内核各层入口。
直接禁用 ctrl-alt-del.target 是最安全、最可靠的方式，其他改配置或删软链接的操作容易导致 reboot 命令失效或服务异常。
systemctl mask ctrl-alt-del.target 是首选操作
现代 Linux（CentOS 7+/RHEL 8+/Ubuntu 16.04+）通过 systemd 管理该热键，核心机制是按下组合键后触发 ctrl-alt-del.target，而它默认软链接到 reboot.target。直接修改或删除原始 target 文件会污染系统单元目录，且可能让 reboot、shutdown 等命令行为异常。
-
sudo systemctl mask -f ctrl-alt-del.target：强制创建/etc/systemd/system/ctrl-alt-del.target → /dev/null的符号链接，彻底阻断任何激活路径 - 执行后验证：
systemctl is-enabled ctrl-alt-del.target应返回masked - 无需重启服务，但建议执行
sudo systemctl daemon-reload确保 unit cache 刷新 - 该操作可逆：
sudo systemctl unmask ctrl-alt-del.target即可恢复
logind.conf 中 HandleKeyCombination=ignore 必须配合启用
仅 mask target 不足以覆盖所有场景——比如在 GDM/LightDM 登录界面、TTY 控制台或某些 KVM 直连环境下，systemd-logind 可能提前拦截并响应热键。这时需要让它明确“忽略”而非转发。
- 编辑
/etc/systemd/logind.conf，取消注释并设为：HandleKeyCombination=ignore - 保存后必须重启服务：
sudo systemctl restart systemd-logind - 验证：
loginctl show --property=HandleKeyCombination应输出HandleKeyCombination=ignore - 注意：此项若不生效，
Ctrl+Alt+Del在登录屏仍可能唤出 SAS 或登出菜单
内核层加固：sysctl 关闭 ctrl-alt-del 和 sysrq
当系统处于紧急模式（如 emergency.target）、initramfs 阶段或无 systemd 接管的最小环境时，内核会自行处理该组合键。此时 systemctl mask 和 logind.conf 都无效。
- 禁用内核级重启：
echo 'kernel.ctrl-alt-del = 0' | sudo tee -a /etc/sysctl.conf && sudo sysctl -p - 禁用 SysRq（防
Alt+SysRq+B强制重启）：echo 'kernel.sysrq = 0' | sudo tee -a /etc/sysctl.conf && sudo sysctl -p - 检查结果：
sysctl kernel.ctrl-alt-del kernel.sysrq输出值都应为0 - 此项影响全局，禁用后所有
Alt+SysRq+组合键均失效，需权衡调试需求
验证必须覆盖全部入口，不能只在桌面测
很多配置看似生效，但在 TTY 或登录界面仍会触发响应——说明某一层漏掉了。真实验证要手动切换场景：
- 按
Ctrl+Alt+F2进入纯 TTY，再按Ctrl+Alt+Del：应完全无反应（不闪屏、不写日志、不登出） - 回到图形登录界面（GDM/LightDM/SDDM），未登录状态下尝试：不应弹出锁屏、SAS 或注销提示
- 已登录后测试：部分桌面环境会映射为“锁定屏幕”，这属于桌面管理器行为，与系统重启无关，可忽略
- 检查日志：
journalctl -b | grep -i "ctrl.*alt.*del"，正常情况下应无匹配项
真正禁用成功的标志是：所有物理按键路径下，Ctrl+Alt+Del 都像没按一样——既不重启、不登出、不弹窗，也不产生任何内核或 systemd 日志。最容易被忽略的是 TTY 和登录界面这两个非图形上下文，它们绕过了桌面环境的屏蔽逻辑。
