在银河麒麟系统中为关键岗位创建独立受限家目录：先用cryptsetup加密/dev/sdb1并挂载至/mnt/finance_home，设权限700；再用useradd -d -s /usr/sbin/nologin -M创建用户，或usermod -d -m迁移；最后禁执行、锁遍历、精简PATH。
在银河麒麟系统中为财务、审计等关键岗位用户创建独立受限家目录，需绕过默认的/home/username结构，将家目录挂载到加密分区或独立逻辑卷，并禁用shell交互与文件遍历能力，防止横向越权访问。
准备加密存储空间
执行sudo cryptsetup luksFormat /dev/sdb1，输入大写字母Y确认覆写；该操作不可逆，会彻底清除/dev/sdb1上所有数据。
执行sudo cryptsetup open /dev/sdb1 finance_home，输入密码后映射为/dev/mapper/finance_home。
执行sudo mkfs.ext4 /dev/mapper/finance_home→sudo mkdir /mnt/finance_home→sudo mount /dev/mapper/finance_home /mnt/finance_home。
【必须执行sudo chown root:root /mnt/finance_home且chmod 700，否则后续创建的用户可能获得意外的父目录写入权】
创建用户并绑定受限家目录
方法一：使用useradd指定非标准路径
执行sudo useradd -d /mnt/finance_home -s /usr/sbin/nologin -M zhangcaiwu，其中-M跳过默认家目录创建，-s /usr/sbin/nologin禁止shell登录，-d强制指向加密挂载点。
立即执行sudo passwd zhangcaiwu设置密码；若跳过此步，账户将处于锁定状态，无法通过SSH或图形界面认证。
方法二：先建用户再迁移（适用于已存在用户）
执行sudo usermod -d /mnt/finance_home -m zhangcaiwu，-m参数会自动移动原/home/zhangcaiwu下内容至新路径；注意该命令不校验目标路径是否已挂载，【务必确保/mnt/finance_home当前已mount且非空】。
施加运行时访问限制
第一步：禁用家目录内所有可执行权限
执行sudo find /mnt/finance_home -type f -exec chmod -x {} \;，移除所有文件的执行位，阻止脚本、二进制文件运行。
第二步：锁定目录遍历能力
执行sudo setfacl -m u:zhangcaiwu:rx /mnt/finance_home→sudo setfacl -m u:zhangcaiwu:-w /mnt/finance_home，使用户仅能读取和进入目录，但不能在根目录下新建、重命名或删除任何项。
第三步：屏蔽bash历史与临时文件写入
编辑/mnt/finance_home/.bashrc，注释掉所有HISTFILE、TMPDIR相关行；追加export PATH="/usr/bin:/bin"，剔除/opt、/usr/local/bin等高风险路径。
