第 6 課 · 包管理與更新策略：爲什麼「不自動升級」也是一種安全

軟件從哪來、怎麼裝、要不要自動更新——這三個問題的答案構成服務器的供應鏈安全。這一課講 apt/dnf 的日常操作，以及一個反直覺的紀律：安全補丁要自動，版本升級要人工——兩句話都是安全策略，矛盾嗎？學完就不矛盾了。

包管理日常：搜索、安裝、卸載

# Debian/Ubuntu（apt）：
apt update                     # 刷新軟件源索引（安裝前必跑，否則找的是舊清單）
apt search nginx               # 搜索
apt install nginx              # 安裝（-y 免確認，腳本裏用）
apt remove nginx && apt purge nginx   # 卸載 / 連配置一起刪
apt list --upgradable          # 有哪些可升級
# RHEL 系（dnf/yum）同構：dnf update / dnf install / dnf search

軟件源的口徑：apt 只從配置的源（/etc/apt/sources.list 及 .d/）下載——源就是供應鏈的上遊，來路不明的「一鍵腳本」最愛幹的事就是給你加第三方源。加源前問三個問題：誰維護、籤名驗證開沒開、卸載時會不會帶走。

兩種更新的本質區別

這就是「不自動升級也是安全」的邏輯：安全的兩條戰線——漏洞暴露窗口（補丁越快越好）與變更引入故障（升級越穩越好）。自動補丁壓縮前者，人工升級控制後者；把兩者混成一個「全自動更新」，等於用不可控的變更風險換一點補丁速度——不劃算。

配置自動安全補丁

# Debian/Ubuntu：
apt install -y unattended-upgrades
dpkg-reconfigure -f noninteractive unattended-upgrades
# 驗證配置（只啓用了安全源）：
grep -r "security" /etc/apt/apt.conf.d/20auto-upgrades /etc/apt/apt.conf.d/50unattended-upgrades 2>/dev/null | head -3
# 模擬一次（--dry-run 不真裝）：
unattended-upgrade --dry-run --debug 2>&1 | tail -5
# RHEL 系對應 dnf-automatic（裝完 systemctl enable --now dnf-automatic-install.timer）

人工升級的安全流程

# 五步紀律（以升級 Nginx 大版本爲例）：
# ① 讀變更說明：配置指令有無廢棄（官方 CHANGES 文件）
# ② 快照/備份先行：VPS 打快照，獨服備份配置與數據（恢復演練過才算數）
# ③ 測試環境先跑：同版本測試機升級並跑通業務回歸
# ④ 生產執行 + 立即驗證：
apt install nginx && nginx -t && systemctl reload nginx && curl -sI https://你的域名 | head -1
# ⑤ 觀察窗口：24 小時內盯錯誤日志（journalctl -u nginx -p err）
# 發行版跨代升級（如 Ubuntu 22.04→24.04）另加一條：應用依賴逐項核對後再動

供應鏈的兩個延伸習慣

• 裝得少就是攻擊面小：裝機時選最小化鏡像，用不到的服務不裝（裝了就是潛在漏洞 + 潛在監聽端口）；季度盤點一次 apt list --installed | wc -l 與自啓服務清單，做減法；
• 鎖住關鍵組件：數據庫等有狀態服務可以 hold 住版本（apt-mark hold mysql-server），升級窗口完全由你控制——hold 的代價是要人工盯它的安全公告，鎖了就別忘。

可復現性：裝機清單與版本鎖

「這臺機器裝了哪些包」應當是一個可回答、可復現的問題。最小實踐兩條：①裝機清單入庫——apt list --installed 2>/dev/null | cut -d/ -f1 > /root/packages-$(date +\%F).txt，裝機完成時生成一份存進你的文檔倉庫；下次開新機器照着清單裝，環境一致性從「憑記憶」變成「憑文件」；②關鍵服務鎖版本——業務強依賴的組件（特定版本的數據庫驅動、語言運行時）用 apt-mark hold 包名 鎖住，升級窗口完全由你控制；鎖定的代價是要人工訂閱它的安全公告（發行版安全郵件列表或 RSS），鎖而不管等於把補丁通道也關了。可復現性的終極形態是鏡像化/容器化——但在單服務器階段，「清單 + 鎖定 + 文檔」三件套已經覆蓋八成需求。

季度盤點：十分鍾的供應鏈體檢

給這門課收個尾——每季度花十分鍾跑一遍這份盤點：apt list --upgradable | wc -l（積壓了多少更新，數字持續增長說明自動補丁沒生效）；systemctl list-unit-files --state=enabled | wc -l（自啓服務數量，只增不減就要做減法）；ss -tlnp | grep -c 0.0.0.0（對全網開放的監聽數，每個都要能說出理由）；last -20（最近登入記錄，IP 都認識嗎）；df -h / | awk 'NR==2{print $5}'（磁盤水位）。五個數字記進筆記與上季度對比——服務器健康的全部祕密就藏在「變化」裏，而發現變化只需要五分鍾一次的定期讀數。

本節小結

• 軟件源即供應鏈上遊：只加可信源，來路不明的一鍵腳本先讀再跑；
• 更新雙軌：安全補丁自動化（壓縮暴露窗口），版本升級人工化（控制變更風險）——兩者都是安全；
• 升級五步紀律：讀變更→備份→測試→執行驗證→觀察窗口；最小化安裝與季度減法是長期習慣。