ClamAV 不支持实时查杀，需通过每小时更新病毒库、每15分钟扫描Web上传目录、命中即隔离并记录日志来实现近实时防护；freshclam失败主因是配置文件含未注释Example行、DatabaseDirectory权限不足或镜像配置错误。
ClamAV 本身不支持“实时查杀”——它没有类似 Windows Defender 的实时监控服务（on-access scanning），所谓“实时隔离”必须靠定时扫描 + 快速响应脚本实现。 真正能落地的方案是：每小时更新病毒库 + 每 15 分钟扫描一次 Web 上传目录 + 命中即 --move 到隔离区 + 记录日志供告警。
freshclam 定时更新失败的三个高频原因
很多人的定时更新卡在 freshclam 报错，不是网络问题，而是配置细节没处理：
-
freshclam.conf文件里还留着未注释的#Example行——只要存在这行，freshclam就直接退出并报 “config file error / Example” -
DatabaseDirectory路径权限不对，比如设为/var/lib/clamav但没给clamav用户写权限，freshclam会静默失败（只写日志不报错） - 用了国内镜像但没配
DatabaseMirror，或配了但域名拼错（如写成db.tuna.tsinghua.edu.cn实际应为database.clamav.net或镜像对应路径）
Web 目录扫描必须加的四个参数
直接 clamscan -r /var/www/uploads 很容易扫崩生产服务器。真实环境要控制资源、跳过干扰项、防止误删：
-
--exclude-dir="^/var/www/static"：静态资源目录体积大、无执行风险，跳过能省 60%+ 时间 -
--max-filesize=30M：Web 上传文件通常不会超这个值，避免扫描大视频/备份包拖慢进程 -
--move=/opt/clamav-quarantine：比--remove安全，保留原始文件供人工复核（注意该目录需chown clamav:clamav） -
--scan-mail=no --scan-pe=no --scan-elf=no：Web 上传目录极少含邮件或 PE/ELF 文件，关掉可提速 20%
crontab 配置里最容易漏掉的一行
很多人把扫描脚本放进 crontab 却发现没生效，是因为没显式指定环境变量。ClamAV 在非交互 shell 下可能找不到数据库路径：
- 在 crontab 条目开头加
PATH=/usr/local/bin:/usr/bin:/bin（根据which clamscan输出调整） - 加上
CLAMAV_DB=/var/lib/clamav（或你实际的DatabaseDirectory） - 完整示例：
*/15 * * * * PATH=/usr/bin CLAMAV_DB=/var/lib/clamav /usr/bin/clamscan -r --infected --move=/opt/clamav-quarantine --exclude-dir="^/var/www/static" --max-filesize=30M /var/www/uploads >> /var/log/clamav/web-scan.log 2>&1
真正难的是隔离后的处置闭环：--move 只是第一步，后续得有人看日志、确认是否误报、清理隔离区、通知上传者——这些没法靠 ClamAV 自动完成，得自己串进监控告警链路里。
