为何Media目录的rsync备份会覆盖NUC上的Ubuntu Server系统？如何避免？

整个故障的发生不是偶然，是几个长期存在的隐患在某个节点同时触发导致的：

• 核心隐患：fstab使用动态分配的设备名做挂载绑定

  /dev/sda、/dev/sdb这类SCSI设备标识，是内核开机时按照存储设备的初始化、枚举顺序动态分配的，和硬盘本身没有任何硬件层面的固定绑定关系。你之前数年的稳定运行，只是因为每次开机的枚举顺序刚好匹配预期：内置系统盘排第一位（对应/dev/sda）、第一块外置Media盘排第二位（对应/dev/sdb）、第二块外置MediaBackup盘排第三位（对应/dev/sdc）。
  只要某一次开机的枚举顺序出现变动——比如外置盘因为USB口供电不足、接口接触不良没被内核识别，或是系统内核更新后内置存储的驱动初始化顺序调整，或是临时插了其他USB存储设备占了靠前的设备名位置——原本的设备名映射就会完全错位。

• 错位挂载没有任何拦截机制

  当设备名错位后，fstab会严格按照配置的设备名执行挂载：举个最常见的触发场景，某次启动时原本的内置系统盘被内核分配到了/dev/sdc，而MediaBackup外置盘因为接触不良没被识别，此时系统会无差别把/dev/sdc（也就是你的整个OS系统分区）挂载到/media/MediaBackup路径下。因为ext4是通用的Linux文件系统格式，系统不会校验这个分区是不是你预期的那块备份硬盘，只会按要求完成挂载操作。

• 高权限+危险参数的组合直接击穿系统

  你的cron任务以root权限运行rsync，搭配--delete参数时拥有目标路径的完全操作权限：只要目标路径/media/MediaBackup指向了错误的系统分区，rsync就会把Media目录下的内容全量复制到系统分区，同时把系统分区内所有不在Media目录下的文件全部删除，最终彻底覆盖整个操作系统。

• 从根源替换fstab的硬编码挂载规则

  立刻移除所有/dev/sdX格式的挂载配置，改用分区专属的UUID/PARTUUID做绑定标识。这类标识是分区格式化时写入的唯一ID，和设备枚举顺序完全无关：

  1. 用sudo blkid命令查出两块外置硬盘对应分区的UUID值
  2. 把fstab中对应的配置替换为类似格式：UUID=你的分区UUID /media/Media ext4 defaults,noatime,x-systemd.device-timeout=10s 0 2
     这种配置下，当对应硬盘未被识别时，系统只会报错挂载失败，绝对不会把其他设备错挂到目标路径下，从源头切断挂载错位的可能。

• 给备份任务加多重安全校验，不要裸跑rsync

  不要直接把rsync命令写在cron里执行，要把操作封装成带校验逻辑的脚本：

  1. 执行rsync前先校验目标挂载点的合法性：可以提前在MediaBackup盘根目录放一个专属标记文件（比如.backup_guard），脚本里先检查挂载点下是否存在这个标记文件，不存在就直接退出，不执行任何同步操作
  2. 尽量避免用全量root权限运行rsync：可以创建专用的备份普通用户，通过sudoers配置只开放Media目录的读权限、MediaBackup目录的写权限，就算真的出现路径错位，普通用户也没有权限改写系统分区的核心文件，不会造成毁灭性故障
  3. 对带--delete参数的rsync操作，额外增加设备号校验：用stat命令查询目标挂载点的设备号，和之前记录的备份盘设备号做比对，不一致就直接终止任务

• 降低单参数的故障影响

  针对rsync的同步逻辑，可以增加路径白名单限制，就算出现极端的路径错位，也可以通过排除系统核心路径的方式降低影响；同时开启rsync的日志记录，每次同步操作都留存日志，出现异常时可以快速定位问题。

内容的提问来源于stack exchange，提问作者79-madms