apt / dnf
  -> 知道有哪些仓库和版本
  -> 选择候选版本
  -> 求解依赖、冲突、替代关系
  -> 下载并校验包
  -> 组织安装事务
       |
       v
dpkg / RPM library
  -> 读取本地包
  -> 解包文件
  -> 运行维护脚本
  -> 更新本地包数据库

sudo dpkg -i app.deb
sudo rpm -Uvh app.rpm

sudo apt install ./app.deb
sudo dnf install ./app.rpm

command -V yum
readlink -f "$(command -v yum)"
yum --version
dnf --version

# 人工操作
sudo apt update
sudo apt install nginx
apt search nginx

# 自动化中常见
sudo apt-get update
sudo apt-get install -y --no-install-recommends nginx
apt-cache policy nginx

cat /etc/os-release
uname -m

# Debian 包架构
dpkg --print-architecture 2>/dev/null

# RPM 架构
rpm --eval '%{_arch}' 2>/dev/null

发行版家族：Debian 生态还是 RPM 生态
发行版版本：Ubuntu 22.04、24.04；RHEL 8、9
CPU 架构：amd64/x86_64、arm64/aarch64

# 看 ELF 二进制需要哪些共享库
readelf -d /usr/bin/curl | grep NEEDED
ldd /usr/bin/curl

# 看某个符号版本需求
readelf --version-info /usr/bin/curl | less

# 刷新仓库元数据，不安装软件
sudo apt update

# 搜索并查看候选包
apt search '^nginx$'
apt show nginx
apt-cache policy nginx

# 安装；显式指定版本时便于复现
sudo apt install nginx
sudo apt install nginx=1.24.0-2ubuntu7.1

# 仅下载，不安装
apt download nginx

# 卸载程序，通常保留系统级配置
sudo apt remove nginx

# 连同由包管理器跟踪的配置文件一起删除
sudo apt purge nginx

# 删除自动安装且不再被需要的依赖
sudo apt autoremove

# 清理下载的 deb 缓存
sudo apt clean

# 建立或刷新缓存
sudo dnf makecache

# 查询
sudo dnf search nginx
dnf info nginx
dnf list --showduplicates nginx

# 安装、升级、卸载
sudo dnf install nginx
sudo dnf upgrade nginx
sudo dnf remove nginx
sudo dnf autoremove

# 仅下载，download 子命令通常来自 dnf-plugins-core
sudo dnf download nginx
sudo dnf clean all

sudo yum makecache
sudo yum install nginx
sudo yum update nginx
sudo yum remove nginx

apt update
  下载仓库索引，让本机知道“当前有哪些包和版本”

apt upgrade
  根据刚获得的元数据，升级本机已安装的软件包

RUN apt-get update
RUN apt-get install -y curl

RUN apt-get update \
 && apt-get install -y --no-install-recommends ca-certificates curl \
 && rm -rf /var/lib/apt/lists/*

# 先看计划，而不是立刻确认
apt list --upgradable
dnf check-update || rc=$?     # dnf 用 100 表示“有更新”，不等于执行失败

# Debian
dpkg -S /usr/bin/ssh
# openssh-client: /usr/bin/ssh

# RPM
rpm -qf /usr/bin/ssh
# openssh-clients-...

# 已安装的 Debian 包
dpkg -L openssh-client
dpkg -s openssh-client

# 查看本地 deb，不安装
dpkg-deb -c ./app.deb
dpkg-deb -I ./app.deb

# 已安装的 RPM 包
rpm -ql openssh-clients
rpm -qi openssh-clients

# 查看本地 rpm，不安装
rpm -qpl ./app.rpm
rpm -qpi ./app.rpm

# Debian：apt-file 需要先建立自己的索引
sudo apt install apt-file
sudo apt-file update
apt-file search 'bin/htpasswd'

# DNF
dnf provides '*/htpasswd'
dnf repoquery --whatprovides '/usr/bin/htpasswd'

# Debian：检查有 md5sums 记录的普通文件
sudo dpkg -V openssh-client

# RPM：校验大小、权限、摘要、属主等
sudo rpm -V openssh-clients

包文件
包名、版本、架构和依赖元数据
文件路径或能力索引
哈希值
仓库级签名及其信任信息
组件、发行版或模块信息

deb [arch=amd64 signed-by=/usr/share/keyrings/company-archive-keyring.gpg] https://mirror.example.com/ubuntu jammy main universe

deb                 二进制包仓库
aarch/amd64         限定架构
signed-by           只让此仓库信任指定 keyring
URL                 仓库基址
jammy                suite/codename
main universe       component

/etc/apt/sources.list
/etc/apt/sources.list.d/*.list
/etc/apt/sources.list.d/*.sources
/usr/share/keyrings/
/etc/apt/keyrings/

apt-cache policy
apt-cache policy nginx
apt-cache madison nginx
apt-cache depends nginx
apt-cache rdepends nginx

[company-appstream]
name=Company AppStream
baseurl=https://mirror.example.com/rhel/9/appstream/$basearch/os/
enabled=1
gpgcheck=1
repo_gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-company

dnf repolist --all
dnf repoinfo company-appstream
dnf list --showduplicates nginx
dnf repoquery --requires --resolve nginx
dnf repoquery --whatprovides 'libssl.so.3()(64bit)'

sudo cp -a /etc/apt/sources.list.d /etc/apt/sources.list.d.bak
sudo cp -a /etc/yum.repos.d /etc/yum.repos.d.bak

发行版/仓库签名密钥
  -> 签名 Release/InRelease
  -> Release 记录 Packages 索引哈希
  -> Packages 记录每个 deb 的哈希
  -> 下载 deb 后逐级校验

受信任 GPG key
  -> 验证 repository metadata 和/或 RPM signature
  -> metadata 给出依赖与包校验信息
  -> 下载后验证再进入事务

# RPM
rpm -Kv ./app.rpm

# Debian 包自身常见的完整性信息不等同于 APT 仓库发布签名；
# 正常情况下应让 apt 从已签名仓库获取和验证。
dpkg-deb -I ./app.deb

trusted=yes
--allow-unauthenticated
gpgcheck=0

Depends/Requires       必须满足
Pre-Depends            必须在解包/配置前满足
Recommends/Suggests    推荐或可选
Conflicts              不能共存
Breaks/Obsoletes       与旧包版本不兼容或替代
Provides               提供某个虚拟能力

A requires B >= 2
A requires TLS implementation
B requires C = 3
D provides TLS implementation
E conflicts with B < 2.5

A -> B, C
B -> D
C -> D, E

apt-cache policy nginx
sudo apt-mark hold nginx
apt-mark showhold
sudo apt-mark unhold nginx

# versionlock 通常由插件提供
sudo dnf versionlock add nginx
sudo dnf versionlock list

1. 读取 sources、preferences 和本地状态
2. 加载 /var/lib/apt/lists 中的仓库索引
3. 选择候选版本并求解依赖、冲突
4. 向用户展示将安装/升级/删除的集合
5. 下载 deb 到缓存并校验
6. 获取 dpkg 前端锁，防止并发事务
7. 调用 dpkg 按依赖顺序 preconfigure、unpack、configure
8. 处理 conffile 和维护脚本
9. 执行 trigger，如刷新共享缓存或手册索引
10. 更新 dpkg 状态数据库并释放锁

/etc/apt/sources.list*       仓库配置
/etc/apt/preferences*        pinning 规则
/var/lib/apt/lists/          仓库索引
/var/cache/apt/archives/     已下载 deb
/var/lib/dpkg/status         已安装包状态
/var/lib/dpkg/info/          文件清单、脚本、校验等

ls -l /var/lib/dpkg/info/nginx*
sudo less /var/lib/dpkg/info/nginx-common.postinst

debian-binary
control.tar.*    元数据、依赖、维护脚本、conffiles 等
data.tar.*       真正要落盘的文件

ar t ./app.deb
dpkg-deb -I ./app.deb
dpkg-deb -c ./app.deb

mkdir inspect-deb
dpkg-deb -e ./app.deb inspect-deb/DEBIAN
dpkg-deb -x ./app.deb inspect-deb/root

not-installed
unpacked
half-configured
installed
config-files

preinst   解包前
postinst  解包后配置时
prerm     删除前
postrm    删除后

1. 读取 /etc/dnf 与 /etc/yum.repos.d
2. 加载缓存或下载 repodata
3. 由依赖求解器选择包集合
4. 下载 RPM 并验证 checksum/signature
5. 建立 RPM transaction
6. 检查文件冲突、磁盘空间和依赖
7. 按事务顺序执行 scriptlet、解包与升级
8. 处理 trigger，更新 RPM 数据库
9. 记录 DNF history

/etc/yum.repos.d/*.repo       仓库配置
/etc/dnf/                     DNF 配置
/var/cache/dnf/               元数据和包缓存
/var/lib/rpm/                 RPM 数据库（具体布局依版本变化）

rpm -qp --scripts ./app.rpm
rpm -q --scripts nginx

.rpmnew   新配置另存，继续保留本地文件
.rpmsave  本地旧配置另存，新配置占据正式路径

sudo find /etc -type f \( -name '*.dpkg-*' -o -name '*.rpmnew' -o -name '*.rpmsave' \) -print

软件包提供默认配置
配置管理系统管理环境配置
升级前做差异检查
升级后做语法验证和冒烟测试

sudo systemctl edit myapp
systemctl cat myapp

# 先检查，不安装
dpkg-deb -I ./app_1.2.3_amd64.deb
dpkg-deb -c ./app_1.2.3_amd64.deb

# 让 apt 把本地包放进依赖求解
sudo apt install ./app_1.2.3_amd64.deb

sudo dpkg --audit
sudo apt --fix-broken install
sudo dpkg --configure -a

# 检查包信息、依赖和签名
rpm -qpi ./app-1.2.3-1.x86_64.rpm
rpm -qpR ./app-1.2.3-1.x86_64.rpm
rpm -Kv ./app-1.2.3-1.x86_64.rpm

# 推荐让 dnf 处理本地包和依赖
sudo dnf install ./app-1.2.3-1.x86_64.rpm

一次安装一个简单程序
  -> 下载本地包和完整依赖闭包

少量机器、固定软件集合
  -> 制作离线 bundle，并生成校验清单

大量机器或长期隔离环境
  -> 建立签名的内网仓库/镜像快照

同发行版
同大版本/小版本策略
同架构
同仓库集合和优先级
同模块流（若适用）
已安装包基线可控

# Debian
dpkg-query -W -f='${binary:Package}\t${Version}\n' | sort > packages.tsv

# RPM
rpm -qa --qf '%{NAME}\t%{EPOCHNUM}:%{VERSION}-%{RELEASE}\t%{ARCH}\n' | sort > packages.tsv

mkdir -p bundle/debs
cd bundle/debs
apt download nginx

sudo apt-get update
sudo apt-get install --download-only nginx
ls /var/cache/apt/archives/*.deb

apt-get -s install nginx
apt-cache depends --recurse --no-recommends nginx

cd bundle/debs
dpkg-scanpackages . /dev/null | gzip -9c > Packages.gz

sudo dnf install dnf-plugins-core
mkdir -p bundle/rpms
sudo dnf download \
  --resolve \
  --alldeps \
  --destdir bundle/rpms \
  nginx

createrepo_c bundle/rpms

[offline-bundle]
name=Offline Bundle
baseurl=file:///opt/offline-bundle/rpms
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-company

packages/             所有包
repository metadata  Packages/repodata
manifest              包名、版本、架构、来源
SHA256SUMS            传输完整性
signature             对清单或仓库元数据签名
public key procedure  如何可信导入 key
install plan          预计新增、升级、删除什么
rollback plan         快照/备份/重建路径
validation script     安装后验证

find packages -type f -print0 \
  | sort -z \
  | xargs -0 shasum -a 256 > SHA256SUMS

shasum -a 256 -c SHA256SUMS

公共上游直连
  优点：简单、更新快
  风险：外部可用性、限流、上游变化

代理缓存
  第一次从上游取，后续由内网复用
  优点：省带宽、部署轻
  风险：不能保证从未请求过的包离线可用

完整镜像/受选仓库快照
  同步需要的 suite/component/arch 和元数据
  优点：可离线、可复现、可审计
  代价：容量、同步、签名和生命周期治理

1. 同步到 staging/2026-08-12
2. 校验元数据、包数量、签名和抽样安装
3. 生成不可变版本目录
4. 原子切换 current 指针或 Web 路由
5. 保留上一版本供回滚
6. 客户端按批准窗口刷新元数据

/usr/bin 或 /usr/sbin 的程序
/usr/lib/systemd/system/*.service
/etc 下默认配置
/var/lib 下状态目录
system user/group
tmpfiles.d、sysusers.d、logrotate 等规则

install  文件和元数据进入系统
start    当前立即运行服务
enable   建立开机启动关系

systemctl is-enabled nginx
systemctl is-active nginx
systemctl cat nginx
rpm -qf /usr/lib/systemd/system/nginx.service 2>/dev/null
dpkg -S /lib/systemd/system/nginx.service 2>/dev/null

sudo lsof +L1
sudo grep -l '(deleted)' /proc/[0-9]*/maps 2>/dev/null | head

# Debian 示例，名称因版本而异
sudo apt install build-essential libsqlite3-dev

# RPM 示例
sudo dnf install gcc sqlite-devel

FROM golang:1.24-bookworm AS build
WORKDIR /src
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 go build -trimpath -o /out/app ./cmd/app

FROM debian:bookworm-slim
RUN apt-get update \
 && apt-get install -y --no-install-recommends ca-certificates tzdata \
 && rm -rf /var/lib/apt/lists/*
COPY --from=build /out/app /usr/local/bin/app
USER 65532:65532
ENTRYPOINT ["/usr/local/bin/app"]

file /out/app
ldd /out/app
readelf -d /out/app | grep NEEDED

RUN apt-get update \
 && apt-get install -y --no-install-recommends curl \
 && rm -rf /var/lib/apt/lists/*

RUN dnf install -y --setopt=install_weak_deps=False curl \
 && dnf clean all \
 && rm -rf /var/cache/dnf

sudo dpkg --audit
sudo dpkg --configure -a
sudo apt-get check
sudo apt --fix-broken install

# 查看近期操作历史
less /var/log/apt/history.log
less /var/log/dpkg.log

仓库索引过期，包 URL 已变化
依赖被 hold 或版本 pin 阻塞
磁盘空间/inode 耗尽
维护脚本失败
配置脚本需要交互输入
文件系统只读
包架构不匹配
多个前端争用锁
镜像源处于半同步状态

sudo dnf check
sudo dnf history
sudo dnf history info last
rpm -qa | sort
sudo rpm -Va

rpm -V nginx
rpm -q --requires nginx
dnf repoquery --unsatisfied

ps aux | grep -E '[a]pt|[d]pkg|[d]nf|[r]pm'
sudo lsof /var/lib/dpkg/lock-frontend 2>/dev/null

仓库索引
下载缓存
新包解压后的文件
旧文件或备份
数据库临时文件
initramfs 等 trigger 产物

df -h /
df -ih /
du -xhd1 /var | sort -h

sudo apt clean
sudo dnf clean all

固定仓库快照
  -> 在同基线测试环境求解事务
  -> 审查新增/升级/删除列表
  -> 检查安全公告与不兼容变更
  -> 做快照/备份并定义回滚条件
  -> 小批量灰度
  -> 验证服务、配置、端口、指标和日志
  -> 扩大批次
  -> 记录最终版本与证据

# Debian：模拟执行
apt-get -s upgrade
apt-get -s install nginx=VERSION

# DNF：先下载/查看事务，实际能力依版本与插件
sudo dnf upgrade --assumeno
sudo dnf history

包数据库一致
配置语法通过
systemd unit active 且未重启循环
端口和健康检查正常
动态链接库为预期版本
错误率、P99、资源指标无回归
重启后仍能正常启动
回滚路径真实可用

sudo apt install package=OLD_VERSION
sudo dnf downgrade package

./configure
make
sudo make install

版本规则
依赖边界
升级脚本幂等性
配置兼容
签名密钥安全
多个发行版版本的测试矩阵
漏洞修复与仓库保留策略

1. 确认目标：Rocky 9.4 x86_64
2. 固定批准的 BaseOS/AppStream 快照
3. 在干净的同版本环境求解 myagent 事务
4. 下载 myagent 与全部依赖
5. 验证上游签名
6. 生成本地 repodata
7. 生成 manifest 与 SHA256SUMS
8. 对仓库元数据/交付清单签名
9. 用全新离线 VM 做首次安装、升级、卸载测试

1. 通过受控介质导入隔离区
2. 在入口重新校验介质和签名
3. 发布为不可变版本目录
4. 原子切换测试仓库地址
5. 小批量安装并检查 DNF transaction
6. 验证 systemd、日志、端口和指标
7. 批准后推广到生产仓库

包文件回滚：仓库保留上一版本
系统状态回滚：虚拟机/LVM/云盘快照
配置回滚：配置仓库版本
应用状态回滚：由应用迁移方案保证
发布回滚：仓库 current 原子切回

发行版与架构
  -> 仓库元数据和候选版本
  -> 依赖约束求解
  -> 下载、哈希和签名验证
  -> dpkg/RPM 安装事务
  -> 配置与维护脚本
  -> systemd、动态链接器和运行进程
  -> 审计、升级、恢复与回滚