APT pinning 和 apt-mark hold 有什么区别

APT pinning 和 apt-mark hold 都能让“升级结果不再按默认方式变化”，但它们控制的对象完全不同：pinning 改变的是多个可用版本之间的优先级，hold 改变的是某个已安装软件包是否允许被自动安装、升级或删除。要控制“选哪个版本”，用 pinning；要临时冻结“这个包先别动”，用 hold。

官方手册：https://manpages.debian.org/bookworm/apt/apt_preferences.5.en.html

一句话判断：APT pinning 面向候选版本，apt-mark hold 面向单个包的动作状态。两者可以同时存在，但排障时要先分清到底是在选版本，还是在阻止动作。

先看两种机制各自控制什么

把 APT 想成先“形成候选”，再“决定能否执行动作”。同一个软件包可能来自多个发行版、仓库或版本记录，pinning 通过 Pin-Priority 参与候选选择；而 hold 是对已安装包增加一个保持状态，让常见的自动安装、升级和删除动作暂时停下来。

因此，pinning 不是“冻结当前版本”的同义词，hold 也不是“指定某个仓库版本”的替代写法。

APT pinning 控制的是候选版本选择

pinning 的配置通常写在 /etc/apt/preferences 或 /etc/apt/preferences.d/。APT 会为可用版本分配优先级，在依赖约束允许的前提下选择优先级最高的版本；同优先级时再比较版本号。优先级达到或超过 1000 还可能允许降级，所以生产环境不要为了“更稳定”随意写超高值。

# 这是 preferences 片段示意：只提高指定发行版的候选优先级
Package: nginx
Pin: release n=bookworm
Pin-Priority: 900

判断 pinning 是否生效，先查询包的版本表，不要只看配置文件：

# 查询已安装版本、Candidate、版本记录和优先级
apt-cache policy nginx

# 只在已经确认目标版本后，显式安装该版本，避免把候选误当成固定版本
sudo apt-get install nginx=版本号

apt-mark hold 控制的是单个包的动作状态

apt-mark hold 的语义更窄：把指定软件包标记为暂缓状态。官方手册将它描述为阻止该包被自动安装、升级或删除；它不负责从多个仓库挑选某个版本。最小操作可以写成：

# 暂停单个已安装包的常规自动变化
sudo apt-mark hold nginx

# 查看当前处于 hold 状态的包
apt-mark showhold

# 业务窗口结束后恢复该包的常规动作
sudo apt-mark unhold nginx

这里的关键是“状态可回滚”。如果只是等待某个依赖、驱动或应用完成兼容改造，hold 比写全局或跨发行版的优先级规则更容易解释；但它也可能让安全更新停滞，所以必须记录谁加的、为什么加、何时解除。

按任务选择，并保留清晰的回滚路径

遇到“升级后版本不对”时，先判断是候选选错，还是包根本不该动：

• 要让某个版本或发行版在候选中更有优先级：检查或编写 pinning，再用 apt-cache policy 对照 Candidate 和优先级。
• 要让某个已安装包暂时不参与自动变化：使用 apt-mark hold，并用 apt-mark showhold 留下可见状态。
• 要恢复默认行为：撤销对应的 preferences 片段或调整优先级；对 hold 则执行 apt-mark unhold。不要只删除配置却忘记检查仍然存在的单包 hold。

# 先确认是否有单包冻结，再决定是否排查版本优先级
apt-mark showhold

# 读取某个包的候选版本与优先级；此命令只查询本地元数据
apt-cache policy nginx

一个实用的复盘记录至少包含：包名、当前 Installed、Candidate、使用过的 Pin-Priority、hold 的添加时间和解除条件。这样下一次出现“源里明明有新版本却没升级”时，可以区分是策略选择、单包冻结，还是索引未更新。

相关问题

pinning 能不能替代 hold？

不能直接替代。pinning 参与版本选择，hold 直接限制单个包的自动动作；临时冻结单包时，hold 的意图更清楚。

hold 之后还能手动安装指定版本吗？

不要把 hold 当成绝对不可变更的安全边界。具体行为取决于使用的 APT 前端和显式参数，生产操作前应先查看模拟计划并记录回滚方案。

多个 pin 规则冲突怎么办？

先按包名、发行版、版本范围和优先级逐条缩小匹配范围，再用 apt-cache policy 读取实际候选；不要只凭配置文件的排列顺序猜结果。