只读审计功能介绍

deepin 25.0.12版本新增了只读审计功能，这个功能能让咱们知道，磐石系统拦住了哪些想要修改不可变的目录里文件的操作。这功能主要是为了帮助软件开发者找出软件可能存在的修改只读文件的问题。

首先确认 deepin-immutable-eventd包已安装，并且当前系统内核版本是 6.6.x，下面来演示一下这个功能。

比如说打开深度终端，执行下面这个命令：

$ touch /usr/xyz
touch: 无法 touch '/usr/xyz': 只读文件系统

立刻就可以收到一条消息提醒，如下图：

这是因为刚才执行那个 touch 命令，导致出现了只读文件系统错误（EROFS），然后被系统发现了。

为了减少通知对用户的干扰，每个应用每次启动时要是触发了只读文件系统错误，5 分钟内只会提醒1次。

可以点击“不再通知”按钮，以后就不会再收到这种消息了。

可以用下面的命令来控制是否接收通知：

# 启用通知
busctl --user set-property org.deepin.immutable.ErrNotifier1 /org/deepin/immutable/ErrNotifier1 org.deepin.immutable.ErrNotifier1 NotificationEnabled b true
# 关闭通知
busctl --user set-property org.deepin.immutable.ErrNotifier1 /org/deepin/immutable/ErrNotifier1 org.deepin.immutable.ErrNotifier1 NotificationEnabled b true

你还可以点击“导出日志”按钮，然后选个保存文件的地方（默认是放在桌面），这样就能把最近那些拒绝写入的日志导出来啦。导出的是一周内的日志文件，按时间倒着排，就是最近产生的日志排在最前面。

另外，还可以使用命令行查看详细日志，执行如下命令：

sudo journalctl -t deepin-err-notify

导出更详细日志以供开发者分析，执行如下命令：

sudo journalctl -t deepin-err-notify -o export > export.txt

然后查看 export.txt 文件。

说明

• 需要加入内测通道，并升级到最新系统版本25.0.12
• 内核版本：6.6.x 支持，6.12.x版本不支持