Debian/Ubuntu 安全更新是什么
Debian 系通过软件源区分安全更新与普通更新，apt 负责查看可升级项与执行升级。运维中常见两种做法：手工按窗口执行，或用 unattended-upgrades 自动化安全更新。自动化能提升覆盖率，但必须评估自动重启与依赖变更带来的影响——核心业务主机更适合自动下载、手工安装。
基本信息
| 适用系统 | Debian、Ubuntu 及其衍生发行版 |
|---|---|
| 关键命令 | apt update / apt list --upgradable / apt-get upgrade |
| 自动更新 | unattended-upgrades，配置在 /etc/apt/apt.conf.d/ |
| 日志位置 | /var/log/unattended-upgrades/ |
| 区别要点 | upgrade 不删包不加新依赖；dist-upgrade 会处理依赖变更 |
查看与执行
查看与执行
apt update # 刷新索引
apt list --upgradable 2>/dev/null # 查看可升级列表
apt-get install --only-upgrade openssl # 只升级指定包
apt-get upgrade -y # 常规升级（不删包、不加新依赖）
# dist-upgrade 会处理依赖变更，生产环境谨慎评估
apt-get upgrade -s # 预演：只输出计划不执行自动更新配置要点
自动更新配置要点
cat /etc/apt/apt.conf.d/50unattended-upgrades # 关注安全源与自动重启项
# Unattended-Upgrade::Automatic-Reboot "false"; # 核心主机建议先关闭自动重启
# 日志：/var/log/unattended-upgrades/
DEBIAN_FRONTEND=noninteractive apt-get -f install # 修复依赖中断场景典型使用场景
- 月度窗口执行：先看可升级列表，再按业务影响分批执行
- 重大漏洞处置：只升级目标包（--only-upgrade）降低影响面
- 边缘与基础镜像：开启自动安全更新提升覆盖率
- 核心业务主机：自动下载 + 手工安装，把重启留给窗口
- 故障修复：依赖中断时用 -f install 恢复
自动更新适合弱管控的基础镜像与边缘主机；核心业务主机建议自动『下载』、手动『安装』，把重启留给维护窗口。
自动更新开启并且允许自动重启时，核心服务可能在不可预期的时间点被重启；修改这类配置要纳入变更记录，并确认登录与业务恢复流程。
两种更新方式对比
| 方式 | 优点 | 代价 |
|---|---|---|
| 手工按窗口执行 | 时间可控，便于安排重启与回归 | 依赖人工，漏做即长期暴露 |
| unattended-upgrades | 覆盖率稳定，边缘主机受益明显 | 可能自动重启并改动依赖 |
| 自动下载手工安装 | 兼顾覆盖率与可控性 | 需额外配置与巡检 |