使用chattr命令可为Linux文件或目录设置不可变（i）或仅追加（a）属性：i属性使文件完全只读，root也无法修改、删除或重命名；a属性允许追加但禁止覆盖或截断；支持递归应用及组合使用以实现分层防护。
如果您希望在Linux中让某个文件或目录变为只读状态，即使root用户也无法修改、删除或重命名，需使用chattr命令设置不可变属性。以下是实现此目标的具体方法：
一、设置文件为不可修改（i属性）
通过添加属性，可使文件进入完全只读锁定状态：任何用户（包括root）均无法写入、截断、删除、重命名或创建硬链接/软链接指向该文件。该属性生效后，常规权限（如chmod 444）将不再起作用。
1、以root身份执行命令，为指定文件添加i属性：
$ sudo chattr +i /path/to/file
2、验证属性是否已成功设置：
$ lsattr /path/to/file
3、尝试向该文件写入内容，系统将返回错误：
$ echo "test" > /path/to/file-bash: /path/to/file: Permission denied
4、若需恢复可修改状态，必须先移除i属性：
$ sudo chattr -i /path/to/file
二、设置文件仅允许追加（a属性）
对于日志类文件，常需保证其内容不可被覆盖或清空，但允许持续追加新条目。此时应使用属性，它限制文件只能以追加方式写入，禁止截断、覆盖及删除操作，且仅root可设置该属性。
1、为日志文件启用a属性：
$ sudo chattr +a /var/log/myapp.log
2、确认属性已应用：
$ lsattr /var/log/myapp.log
3、测试追加操作（应成功）：
$ echo "$(date): Event occurred" >> /var/log/myapp.log
4、测试覆盖操作（应失败）：
$ echo "reset" > /var/log/myapp.log-bash: /var/log/myapp.log: Permission denied
三、递归锁定整个目录及其内容
当需保护整个配置目录（如/etc/ssl/private）免受任何结构性变更时，可结合-R选项递归应用i属性。该操作将使目录本身不可重命名或删除，同时其下所有现有文件和子目录均获得i属性，无法被修改或移除。
1、对目标目录递归设置不可变属性：
$ sudo chattr -R +i /etc/ssl/private
2、检查目录顶层属性：
$ lsattr /etc/ssl/private
3、检查其下任意文件属性（例如私钥）：
$ lsattr /etc/ssl/private/server.key
4、尝试在该目录中新建文件：
$ touch /etc/ssl/private/test.txt touch: cannot touch '/etc/ssl/private/test.txt': Permission denied
四、组合使用a与i属性实现分层防护
某些场景下需对目录结构施加差异化控制：例如允许在日志目录中创建新日志文件，但禁止修改已有日志内容。此时可对目录本身设a属性（允许新建文件），对其内已有日志文件单独设i属性（禁止修改）。
1、为日志目录设置a属性（允许新增文件）：
$ sudo chattr +a /var/log/applogs
2、为已存在的日志文件逐个添加i属性：
$ sudo chattr +i /var/log/applogs/access.log$ sudo chattr +i /var/log/applogs/error.log
3、验证目录属性：
$ lsattr /var/log/applogs
4、验证单个日志文件属性：
$ lsattr /var/log/applogs/access.log
五、临时解除锁定并恢复操作权限
当需要对已锁定的文件进行必要维护（如更新证书、轮转日志）时，必须显式移除对应属性。注意：移除i属性前，务必确认操作意图明确且具备充分审计依据；移除a属性后，文件将恢复完整写入能力，可能被意外覆盖。
1、移除单个文件的i属性：
$ sudo chattr -i /etc/hosts
2、移除目录下全部文件的a属性（不递归）：
$ sudo chattr -a /var/log/applogs/*.log
3、递归移除整个目录树的i属性：
$ sudo chattr -R -i /etc/secure_config