可以使用Linux的文件许可控制(facl)。

文件许可控制可以精确的控制某个用户，组对某个文件，目录的使用权限。 

以深度浏览器为例。深度浏览器是通过两个文件打开的， /usr/bin/browser(这个是脚本), /usr/share/browser/browser(这个是运行文件).

默认的使用权限是所有人都可以读和运行。 如果想要防止某个用户运行该程序，可以给该用户单独设立一个权限来禁止读和运行的权利。

例如，要阻止用户guest2运行深度浏览器，可以进行以下操作

sudo setfacl -m u:guest2:--- /usr/bin/browser
sudo setfacl -m u:guest2:--- /usr/share/browser/browser

设置限制之前， 这些文件的权限：

$ getfacl /usr/bin/browser
getfacl: Removing leading '/' from absolute path names
# file: usr/bin/browser
# owner: root
# group: root
user::rwx
group::r-x
other::r-x


$ getfacl /usr/share/browser/browser
getfacl: Removing leading '/' from absolute path names
# file: usr/share/browser/browser
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

设置用户guest2限制以后, 只有用户guest2失去了访问使用权限。其他用户不受影响。

$ getfacl /usr/bin/browser
getfacl: Removing leading '/' from absolute path names
# file: usr/bin/browser
# owner: root
# group: root
user::rwx
user:guest2:---
group::r-x
mask::r-x
other::r-x

$ getfacl /usr/share/browser/browser
getfacl: Removing leading '/' from absolute path names
# file: usr/share/browser/browser
# owner: root
# group: root
user::rwx
user:guest2:---
group::r-x
mask::r-x
other::r-x

作为guest2用户，再运行这些命令时，会被拒绝。

$ /usr/bin/browser --version
-bash: /usr/bin/browser: Permission denied

$ /usr/share/browser/browser --version
-bash: /usr/share/browser/browser: Permission denied

在这些命令被限制运行之后， 用户guest2也同样无法从应用菜单里启动。

运行以下命令来取消这个限制:

sudo setfacl -x u:guest2 /usr/bin/browser
sudo setfacl -x u:guest2 /usr/share/browser/browser

可以写个脚本，然后创建一个cron任务，在小孩上课的时间段自动添加限制， 在其他时间段取消限制。

类似的操作也适用于限制对某个目录的访问。 比如win分区的顶级目录。 

最后需要和小孩讲清楚，在上课期间浏览器及其他影响上课的应用会被限制。不要让小孩花全部的上课时间去搞清楚为啥不能上网了。 不要低估小孩探索的好奇心。