系统常识 Debian自动更新安全更新运维
Debian 自动安全更新（unattended-upgrades）
Debian 上启用 unattended-upgrades 自动打安全补丁：安装、配置只升安全源、自动重启的选择，以及和 apt 手动更新的分工边界。
发布于 2026/11/11
所属频道 Ubuntu 与 Debian
结论先行
Debian 默认不自动装更新（包括安全更新），要自动打安全补丁需手动启用 unattended-upgrades：在 Debian 13.7.0 DVD-1 条目 或 网络安装条目 系统上装包、改配置、重启服务即生效；只自动升 security 源，不自动升普通更新，这是默认推荐姿势。
启用步骤
sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades # 图形界面勾选编辑 /etc/apt/apt.conf.d/50unattended-upgrades：
Unattended-Upgrade::Origins-Pattern { "origin=DebianX_codename=trixie,label=deb-security"; };
Unattended-Upgrade::Automatic-Reboot "false";然后：
sudo service unattended-upgrades restart关键开关说明
| 开关 | 建议 | 说明 |
|---|---|---|
| 只升 security 源 | 开 | 默认 Origins-Pattern 即如此，别扩大 |
| 自动重启 | 关（服务器） | 生产机不建议；要开就配重启时间窗口 |
| 装前下载 | 开 | 默认即如此 |
与手动更新的分工
- 日常：让 unattended-upgrades 自动处理 security 补丁，定期
sudo apt update && sudo apt full-upgrade处理其余更新。 - 排障前：临时关掉自动更新，避免更新与排障动作打架（
sudo service unattended-upgrades stop）。
自动更新只在「能正常联网 + apt 锁可用」时生效；锁冲突/磁盘满时它只在日志里留痕（
/var/log/unattended-upgrades/），不会报错到桌面。
常见误操作
- 把 Origins-Pattern 改成全部源：等于全量自动升级，行为不可控。
- 自动重启开着又没配时间窗口：服务随机时刻被打挂。