银河麒麟系统补丁更新教程

银河麒麟操作系统的补丁更新主要有三种方式：图形界面在线更新、APT命令行批量升级、离线RPM包手动安装。你可能觉得装个补丁不必分这么细，但在实际运维中，环境不同，选择就完全不同——比如内网隔离服务器只能用离线包，桌面用户图省事可以直接点鼠标。更重要的是，补丁更新不是可选项，而是保障系统基础运行安全的强制操作。举个例子，漏掉一个关键补丁，SSH服务可能暴露CVE-2026-3842漏洞，打印机驱动升级后也可能彻底失联。花几分钟了解这三种方法，能省掉后面几天的麻烦。

图形界面一键更新（推荐桌面用户）

这种方式依赖系统内置的“系统更新”工具，它会自动完成源同步、数字签名校验和静默安装，全程不需要打开终端，日常办公场景用起来很方便。具体操作如下：

点击左下角“开始菜单”，在搜索框中输入“系统更新”并启动程序。工具启动后会自行扫描补丁；如果显示“暂无可用更新”，先检查网络是否通畅，然后执行 sudo ntpdate cn.pool.ntp.org 同步系统时间——时间偏差超过3分钟会导致签名验证失败，补丁列表直接为空。

在更新类型筛选栏中，勾选“安全更新”与“推荐更新”，务必取消“可选更新”。这是因为可选更新里可能混入未经适配的第三方组件，一旦安装，桌面环境可能崩溃。这一经验来自实际运维中的教训。

点击“立即安装”，输入管理员密码授权。安装过程中**请勿关闭窗口、勿断电、勿强制注销**——内核模块写入若被中断，下次启动就会卡在GRUB菜单。安装完成后提示重启，点击确认，等系统初始化加载完毕即可。

APT命令行批量升级（适用于V10 SP1各版本）

该方法通过刷新软件源索引并调用 full-upgrade 指令，确保所有补丁包及其依赖统一拉取部署。适用于需要审计补丁安装过程的政企环境，因为命令行的输出可以存档。

第一步：打开终端，确认当前版本：cat /etc/os-release | grep VERSION_ID，输出应为 VERSION_ID="V10" 或类似标识。

第二步：备份原软件源配置：sudo cp /etc/apt/sources.list.d/v10sp1*.list /etc/apt/sources.list.d/v10sp1.list.bak。

第三步：刷新软件包索引：sudo apt update。

第四步：列出待安装补丁：apt list --upgradable | grep -E "(security|update|patch)"；如果输出为空，检查是否误启用了非官方PPA源——那些源会屏蔽麒麟安全补丁通道。

第五步：执行全量补丁升级：sudo apt full-upgrade -y。这个命令会自动处理内核模块、基础库及服务组件的补丁适配。

第六步：清理冗余缓存：sudo apt autoremove -y && sudo apt autoclean。

离线RPM补丁包手动安装（适用于无外网服务器）

在无网络的高安全隔离网络或监管合规场景下，无法使用APT源，只能直接部署经签名验证的独立RPM补丁文件。该方法会绕过APT/YUM仓库依赖检查，因此需要额外小心。

先从麒麟官网支持页面或监管机构指定渠道，下载对应架构的补丁包，例如 kylin-V10-SP1-security-patch-202604-x86_64.rpm。然后将该RPM文件上传到目标系统的 /tmp 目录。

进入目录执行强制安装：cd /tmp && sudo rpm -ivh *.rpm --force --nodeps。**注意：此命令跳过了依赖检查，只有当你确认补丁包自身已打包了全部依赖时才可以使用**，否则可能破坏glibc等核心库，导致系统无法启动。

三种方法各有适用场景。桌面用户优先选图形界面，适合快速打补丁；政企环境需要审计记录，命令行批量升级更可靠；离线服务器必须依赖RPM包手动操作。无论选择哪种方法，建议定期更新，避免因漏洞暴露而造成损失。