在麒麟系统中需将软件加入KYSEC白名单才能绕过安全拦截，先用kysec_status确认模块启用，再用kysec_set添加绝对路径的可执行文件，或通过安全中心图形界面批量导入，高级用户可编辑/etc/kysec/policy/exectable_policy.conf配置通配符规则。
在麒麟系统中让特定软件绕过安全拦截、双击图标能正常启动、命令行不报“Permission denied”，必须将其加入系统级信任白名单。这一步不可跳过，否则即使安装成功，程序也无法运行。
确认KYSEC模块是否已启用
软件白名单机制依赖kysec强制访问控制模块生效。先执行kysec_status命令查看状态：若输出含status: enabled，说明模块已启用；若提示命令未找到或显示disabled，则无需配置白名单，直接跳过后续步骤。【必须确认】若kysec未启用却强行添加白名单规则，会导致规则冗余且无法触发，浪费排查时间。
使用kysec_set命令添加单个可执行文件白名单
这是最常用、最稳妥的方式，适用于路径明确的独立程序（如Rider启动脚本、自研服务二进制）。
第一步：获取目标程序的绝对路径
例如要放行/opt/JetBrains/Rider-2023.3/bin/rider.sh，必须写完整路径——不能用~/、不能用相对路径、不能漏掉.sh后缀。【路径错误将导致白名单完全失效】
第二步：注册白名单策略
执行命令：sudo kysec_set -r -n exectl -v verified /opt/JetBrains/Rider-2023.3/bin/rider.sh
其中-r表示注册、-n exectl指定策略类型为可执行控制、-v verified表示按文件哈希授信。
第三步：验证是否生效
运行kysec_list -n exectl，检查输出中是否包含你刚添加的路径。若存在，重启终端后即可双击或命令行直接运行该程序。
通过图形界面批量导入白名单（仅限桌面版SP3 2303）
适合一次性放行多个程序，或运维人员不熟悉命令行的场景，但仅支持麒麟V10 SP3 2303桌面版。
打开“安全中心”→“应用管控”→“可信应用管理”→点击右下角“导入白名单”按钮。
准备一个纯文本文件，每行一个完整路径，例如：
/usr/bin/firefox
/opt/thunderbird/thunderbird
保存为UTF-8编码的.txt文件。
在界面中选择该文件并确认导入。注意：导入后需手动点击右上角“应用策略”按钮，否则规则处于待生效状态，程序仍被拦截。
修改KYSEC策略配置文件（高级用户适用）
当需对接自动化部署流程，或要对一类程序（如所有/usr/local/bin/下的脚本）统一放行时，可编辑策略源文件。
编辑策略配置：sudo vim /etc/kysec/policy/exectable_policy.conf
在[verified]段落下添加路径规则，支持通配符：
/usr/local/bin/*
/opt/mytools/**
保存退出后，执行sudo kysec_reload使新规则立即加载。无需重启系统。
