chattr +i 是 Linux 内核级防篡改机制，仅适用于 ext4/xfs 文件系统上的静态关键文件（如 /etc/passwd、/etc/shadow、/etc/sudoers 等），加锁前须确认文件系统支持、挂载非只读且由真实 root 执行，修改时必须先解锁、校验编辑、立即重锁。
用 chattr +i 给关键系统文件加锁，是 Linux 中最硬核的防篡改手段——它不看用户权限、不认 root 身份，直接由内核在 VFS 层拦截所有写入、删除、重命名操作。
哪些文件必须加 i 锁
只锁定那些「静态、极少变更、改错即瘫痪」的核心文件：
-
/etc/passwd和/etc/shadow：用户身份与密码哈希的源头，被清空或注入会导致登录失效或提权 -
/etc/group和/etc/gshadow：组权限基线，篡改可能让普通用户加入wheel或root组 -
/etc/sudoers：提权策略总开关，语法错误会直接导致全员失权 -
/etc/ssh/sshd_config：SSH 入口配置，加锁后 reload 服务前必须先解锁 -
/boot/grub2/grub.cfg：启动链第一环，防 Bootkit 持久化植入
加锁前必须确认的三件事
跳过任一环节，可能导致锁无效、服务异常甚至系统无法启动：
- 运行
df -T /path/to/file，确认文件系统是 ext4 或 xfs；NFS、tmpfs、btrfs（默认）、FAT 等不支持i属性 - 执行
mount | grep "$(dirname /path/to/file)"，确保挂载项不含ro（只读）标志 - 必须由真实 root 用户 执行，且不在容器或受限命名空间中（否则可能静默失败）
标准加锁流程（以 /etc/passwd 为例）
闭环操作，缺一不可：
- 先备份：
cp /etc/passwd /backup/passwd.$(date +%s)，并对备份也执行chattr +i - 检查当前属性：
lsattr /etc/passwd，确保没有冲突标志（如已有i或a） - 加锁：
sudo chattr +i /etc/passwd - 验证：
lsattr /etc/passwd输出应含i，例如----i---------e--- - 测试：
sudo rm /etc/passwd和sudo echo "x" > /etc/passwd都应报Operation not permitted
安全维护的硬性规则
i 属性生效后，任何编辑都会失败。修改必须严格按以下三步执行：
- 临时解锁：
chattr -i /etc/sudoers - 用专用工具编辑（如
visudo校验语法，避免保存失败导致系统不可用） - 编辑完成立刻重锁：
chattr +i /etc/sudoers
建议把这三步封装成脚本函数，杜绝漏锁风险。
