第 6 课 · 包管理与更新策略：为什么「不自动升级」也是一种安全

软件从哪来、怎么装、要不要自动更新——这三个问题的答案构成服务器的供应链安全。这一课讲 apt/dnf 的日常操作，以及一个反直觉的纪律：安全补丁要自动，版本升级要人工——两句话都是安全策略，矛盾吗？学完就不矛盾了。

包管理日常：搜索、安装、卸载

# Debian/Ubuntu（apt）：
apt update                     # 刷新软件源索引（安装前必跑，否则找的是旧清单）
apt search nginx               # 搜索
apt install nginx              # 安装（-y 免确认，脚本里用）
apt remove nginx && apt purge nginx   # 卸载 / 连配置一起删
apt list --upgradable          # 有哪些可升级
# RHEL 系（dnf/yum）同构：dnf update / dnf install / dnf search

软件源的口径：apt 只从配置的源（/etc/apt/sources.list 及 .d/）下载——源就是供应链的上游，来路不明的「一键脚本」最爱干的事就是给你加第三方源。加源前问三个问题：谁维护、签名验证开没开、卸载时会不会带走。

两种更新的本质区别

这就是「不自动升级也是安全」的逻辑：安全的两条战线——漏洞暴露窗口（补丁越快越好）与变更引入故障（升级越稳越好）。自动补丁压缩前者，人工升级控制后者；把两者混成一个「全自动更新」，等于用不可控的变更风险换一点补丁速度——不划算。

配置自动安全补丁

# Debian/Ubuntu：
apt install -y unattended-upgrades
dpkg-reconfigure -f noninteractive unattended-upgrades
# 验证配置（只启用了安全源）：
grep -r "security" /etc/apt/apt.conf.d/20auto-upgrades /etc/apt/apt.conf.d/50unattended-upgrades 2>/dev/null | head -3
# 模拟一次（--dry-run 不真装）：
unattended-upgrade --dry-run --debug 2>&1 | tail -5
# RHEL 系对应 dnf-automatic（装完 systemctl enable --now dnf-automatic-install.timer）

人工升级的安全流程

# 五步纪律（以升级 Nginx 大版本为例）：
# ① 读变更说明：配置指令有无废弃（官方 CHANGES 文件）
# ② 快照/备份先行：VPS 打快照，独服备份配置与数据（恢复演练过才算数）
# ③ 测试环境先跑：同版本测试机升级并跑通业务回归
# ④ 生产执行 + 立即验证：
apt install nginx && nginx -t && systemctl reload nginx && curl -sI https://你的域名 | head -1
# ⑤ 观察窗口：24 小时内盯错误日志（journalctl -u nginx -p err）
# 发行版跨代升级（如 Ubuntu 22.04→24.04）另加一条：应用依赖逐项核对后再动

供应链的两个延伸习惯

• 装得少就是攻击面小：装机时选最小化镜像，用不到的服务不装（装了就是潜在漏洞 + 潜在监听端口）；季度盘点一次 apt list --installed | wc -l 与自启服务清单，做减法；
• 锁住关键组件：数据库等有状态服务可以 hold 住版本（apt-mark hold mysql-server），升级窗口完全由你控制——hold 的代价是要人工盯它的安全公告，锁了就别忘。

可复现性：装机清单与版本锁

「这台机器装了哪些包」应当是一个可回答、可复现的问题。最小实践两条：①装机清单入库——apt list --installed 2>/dev/null | cut -d/ -f1 > /root/packages-$(date +\%F).txt，装机完成时生成一份存进你的文档仓库；下次开新机器照着清单装，环境一致性从「凭记忆」变成「凭文件」；②关键服务锁版本——业务强依赖的组件（特定版本的数据库驱动、语言运行时）用 apt-mark hold 包名 锁住，升级窗口完全由你控制；锁定的代价是要人工订阅它的安全公告（发行版安全邮件列表或 RSS），锁而不管等于把补丁通道也关了。可复现性的终极形态是镜像化/容器化——但在单服务器阶段，「清单 + 锁定 + 文档」三件套已经覆盖八成需求。

季度盘点：十分钟的供应链体检

给这门课收个尾——每季度花十分钟跑一遍这份盘点：apt list --upgradable | wc -l（积压了多少更新，数字持续增长说明自动补丁没生效）；systemctl list-unit-files --state=enabled | wc -l（自启服务数量，只增不减就要做减法）；ss -tlnp | grep -c 0.0.0.0（对全网开放的监听数，每个都要能说出理由）；last -20（最近登录记录，IP 都认识吗）；df -h / | awk 'NR==2{print $5}'（磁盘水位）。五个数字记进笔记与上季度对比——服务器健康的全部秘密就藏在「变化」里，而发现变化只需要五分钟一次的定期读数。

本节小结

• 软件源即供应链上游：只加可信源，来路不明的一键脚本先读再跑；
• 更新双轨：安全补丁自动化（压缩暴露窗口），版本升级人工化（控制变更风险）——两者都是安全；
• 升级五步纪律：读变更→备份→测试→执行验证→观察窗口；最小化安装与季度减法是长期习惯。