Ubuntu设置软件更新黑名单的方法与步骤

在 Ubuntu 中并不存在统一的全局更新黑名单，实际只有三种彼此独立、互不重叠的控制机制：dpkg hold（会影响所有 apt 更新行为）、unattended-upgrades 黑名单（仅作用于安全更新）、modprobe 黑名单（只用于禁止内核模块加载）。如果混用场景不对，配置通常就不会生效。

Ubuntu 其实没有全局“软件更新黑名单”的说法，只有三类边界清晰、用途明确的限制方式：软件包级别 hold、无人值守升级黑名单，以及内核模块黑名单。用错机制，等于完全无效。

dpkg --set-selections 设置软件包为 hold 状态

这是 Ubuntu 中最常见、也最稳定可靠的“禁止某个软件包更新”方法，适用于任意 deb 软件包（例如 nginx、docker-ce、nvidia-driver-535），并且对 apt upgrade 与 unattended-upgrades 都会生效。

• 执行 echo "package-name hold" | sudo dpkg --set-selections，例如：echo "nvidia-driver-535 hold" | sudo dpkg --set-selections
• 验证是否成功：dpkg --get-selections | grep "hold"，输出结果中应包含该包名以及 hold 标记
• 如果后续想恢复更新，把 hold 改回 install 即可： echo "nvidia-driver-535 install" | sudo dpkg --set-selections
• 注意：hold 不会阻止依赖项安装，但如果其他软件包明确依赖更新后的新版本，apt 可能报错，或拒绝升级整组相关软件包

unattended-upgrades 的 Package-Blacklist 配置

这个黑名单仅对 unattended-upgrades 自动更新服务有效，不会影响手动执行的 apt upgrade。它主要用于防止安全更新过程中自动安装高风险软件包，例如内核或固件相关包。

• 编辑 /etc/apt/apt.conf.d/50unattended-upgrades
• 在 Unattended-Upgrade::Package-Blacklist 配置块中加入包名，每行一个，并以分号结尾，例如："linux-image-generic"; "linux-firmware";
• 必须确认 Allowed-Origins 中仅保留 -security 源，否则黑名单有可能被绕过（例如误开启了 -updates）
• 修改完成后运行 sudo unattended-upgrades --dry-run --debug，检查输出里是否仍然出现被列入黑名单的软件包名称

modprobe 黑名单禁用内核模块（不是软件包）

这里最容易混淆的一点是：modprobe 黑名单针对的是驱动模块（如 nouveau、rtl8188eu），并不是用户空间的软件包。它不会阻止软件更新，只会阻止对应模块在系统启动或运行时被加载。

• 写入 /etc/modprobe.d/blacklist.conf，格式为：blacklist module-name，例如：blacklist nouveau
• 如果该模块已内置到内核中，或者存在强制依赖关系，则需要改用：install module-name /bin/true
• 必须执行 sudo update-initramfs -u，否则即使重启系统也不会生效
• 验证方法：lsmod | grep module-name 应当没有任何输出；如果仍能看到结果，通常说明未写入 initramfs，或者模块名拼写有误

真正最容易被忽略的，恰恰是这三种 Ubuntu 更新限制方式各自的适用边界：hold 会影响所有 apt 相关更新操作；Package-Blacklist 只对无人值守自动升级有效；modprobe blacklist 则仅限制内核模块加载。如果把它们混在一起用，或者配置位置放错，最终效果往往就是“看起来写了，实际没生效”。例如在 50unattended-upgrades 中加入 nginx，通常并不会起作用，因为它只会检查 -security 源内的软件包，而 nginx 的更新大多来自 -updates，甚至可能直接来自第三方软件源。