Ubuntu 22.04下触控屏GUI应用部署：限制系统访问的实现方案

1. 单应用桌面锁定 #

• 利用GNOME Shell的单应用模式：给你的GUI应用创建桌面配置文件（比如/usr/share/applications/industrial-control.desktop），指定启动路径后，修改用户默认会话，让系统登录后直接启动该应用，同时禁用Alt+Tab、Win键等切换/打开系统组件的快捷键，彻底阻断操作人员访问其他系统功能的入口。
• 轻量桌面替代方案：如果追求更低资源占用，用LXDE或XFCE时，直接修改~/.xinitrc，跳过完整桌面环境，启动X后直接运行你的GUI应用，进一步减少可操作的系统界面。

2. 最小化权限隔离 #

• 创建专用操作账号：新建无sudo权限的普通用户，仅赋予该用户启动GUI应用、访问业务必需设备节点（如串口、GPIO）的权限。比如要让用户访问串口，执行sudo usermod -aG dialout operator。
• 应用级权限管控：用Ubuntu自带的AppArmor给GUI应用和FastAPI服务做权限规则配置，禁止它们读取敏感系统文件、执行系统命令，只开放业务相关的配置文件、设备接口访问权限，从底层限制程序越权。

3. Web GUI+Kiosk模式 #

• 后端用FastAPI提供设备控制、配置调整的接口，前端用Vue/React做触控友好的Web界面，然后用Chrome/Chromium的Kiosk模式全屏启动：
  • 启动命令示例：chromium-browser --kiosk --incognito --no-first-run http://localhost:8000
  • 这种方式天然隔离系统访问，操作人员只能在浏览器内操作，再通过FastAPI的接口权限校验，限定可执行的操作范围，既简单又安全。
• 配合openbox窗口管理器，确保浏览器全屏无边框，禁止退出、新建标签或打开开发者工具。

4. 工业级原生GUI框架 #

• 选Qt for Embedded（或PyQt/PySide）开发原生应用：这类框架专为嵌入式/工业场景设计，资源占用低，触控适配友好，还能通过自定义权限拦截或Qt沙箱机制，阻止应用执行非法系统操作。编译成独立二进制后，依赖更少，稳定性更高。
• 轻量备选：用GTK+结合libhandy开发触控适配的应用，同样可以配合AppArmor做权限限制。

5. 系统级加固补充 #

• 禁用冗余服务：关闭SSH、终端、文件管理器等非必要服务，移除系统设置面板入口，只保留GUI应用和FastAPI后台服务。
• 物理/系统按键屏蔽：修改系统配置屏蔽电源键、重启键，或者通过硬件锁定，防止操作人员强制重启设备或进入BIOS篡改设置。

内容的提问来源于stack exchange，提问作者Max