CentOS 7需用yum --security update -y精准安装安全补丁，但依赖仓库CVE标签完整性，安装后须rpm -q kernel与uname -r核对并重启生效。
没有“一键安装所有安全补丁”的通用命令，但每种主流包管理器都提供明确的安全更新模式，关键在于用对参数、确认生效范围、并手动验证内核等核心组件是否真被修复。
用 yum 安装 CentOS/RHEL 7 的安全补丁
CentOS 7 默认使用 yum，它支持 --security 参数筛选仅含安全修复的更新。但注意：该参数依赖仓库元数据是否标记了 CVE 信息，部分镜像源（如阿里云、腾讯云）可能未完整同步这些标签。
- 先检查有哪些安全更新可用：
yum update --security --dry-run（不实际安装，只预览） - 执行安装：
sudo yum update --security -y - ⚠️ 常见坑：
--security不保证覆盖所有已知漏洞——比如内核模块或第三方仓库（EPEL）里的软件，需单独处理 - 更新后必须运行
rpm -q kernel确认新内核已安装，并用uname -r核对是否已启动新版本；若没重启，安全补丁对内核层面无效
用 dnf 安装 CentOS 8+/Rocky/AlmaLinux 的安全补丁
dnf 是 RHEL 8+ 的默认工具，安全更新逻辑更清晰，且原生支持 --advisory 按 CVE 编号精确安装。
- 列出所有待处理的安全公告：
dnf list updates --security - 安装全部安全补丁：
sudo dnf upgrade --security -y - 按特定 CVE 安装（例如修复 CVE-2024-1234）：
sudo dnf upgrade --advisory=CVE-2024-1234 -y - ⚠️ 常见坑：
dnf默认不自动清理旧内核，df -h /boot可能报满；需定期执行dnf autoremove --oldinstallonly
用 apt 安装 Ubuntu/Debian 的安全补丁
Ubuntu/Debian 的安全更新走独立仓库（-security 源），apt 本身无内置 --security 开关，靠源配置和包版本号识别。
- 确保
/etc/apt/sources.list中包含security行，例如：deb http://security.ubuntu.com/ubuntu jammy-security main - 只升级安全相关包（跳过常规功能更新）：
sudo apt update && sudo apt install $(apt list --upgradable 2>/dev/null | grep -i security | cut -d'/' -f1 | tr '\n' ' ') -y - 更稳妥的做法是启用
unattended-upgrades并限制仅安全源：sudo dpkg-reconfigure -plow unattended-upgrades，然后确认/etc/apt/apt.conf.d/50unattended-upgrades中Unattended-Upgrade::Allowed-Origins仅含-security条目 - ⚠️ 常见坑：
apt upgrade默认会升级所有可更新包，包括非安全更新；若只要安全补丁，不能直接用这个命令
为什么不能完全依赖“自动打补丁”？
安全补丁不是安装完就万事大吉。OpenSSL、glibc、内核等底层组件更新后，必须重启对应服务甚至整个系统才能生效；某些补丁还要求应用层配合（如 PHP 升级后需重载 php-fpm）。生产环境里，直接跑 sudo yum update --security -y && reboot 很容易导致宝塔面板后台无法访问、网站 502 或数据库连接中断——这些都不是命令本身的问题，而是缺少对服务依赖关系和重启时机的判断。
