apt-mark manual 怎么防止关键工具被 autoremove 删除

如果一个关键工具最初只是某个元包或开发环境的依赖，后来上层软件被移除，它可能被 APT 归为“自动安装且已无手动包依赖”的对象。解决办法通常不是直接删改依赖记录，而是用 apt-mark manual 把这个工具声明为手动安装，再用模拟清理确认候选列表。

官方地址：https://manpages.debian.org/bookworm/apt/apt-mark.8.en.html

为什么 manual 标记能保护关键工具

APT 会区分两类安装状态：用户明确请求安装的包通常是 manual，为了满足依赖而带进来的包通常是 auto。当一个自动安装包不再被任何手动安装包依赖时，APT 会把它视为不再需要，autoremove 才会把它列入自动清理范围。

因此，manual 的作用是改变“这个包是否被显式需要”的状态，而不是把包复制一份或修改软件本身。只要关键工具被标成手动安装，它就不会仅因为依赖链断开而被自动清理。APT 会把相关状态保存到扩展状态文件中，依赖分析和清理候选也因此有了可追踪的依据。

给关键工具补上 manual 标记

假设服务器上的 curl 和 rsync 是日常维护依赖，即使某个上层软件被卸载，它们也应该继续保留。可以显式标记它们：

# 把关键工具标记为手动安装，避免它们只因依赖链变化进入 autoremove 候选
sudo apt-mark manual curl rsync

# 只查看这两个包是否出现在手动安装清单中
apt-mark showmanual | grep -E '^(curl|rsync)$'

这条命令不会重新安装工具，也不会立即删除其他包；它修改的是 APT 的安装标记。若包当前尚未安装，应先按系统维护流程安装，再用 apt-mark manual 固定“显式需要”的语义，不要把标记命令当成安装命令。

清理前先看清会删什么

设置标记后，先分别查看手动包和自动包，再模拟一次自动清理。模拟模式只给出 APT 计划，不真正执行删除，适合在生产机器上作为发布或维护流水线的门禁。

# 查看显式保留的包，确认关键工具没有从手动清单消失
apt-mark showmanual

# 查看由依赖带入、可能在依赖链断开后变成孤立的包
apt-mark showauto

# 只模拟 autoremove，先检查计划删除列表，不改变系统
sudo apt-get -s autoremove

重点不是看到“有自动包”就立刻清理，而是对照模拟输出：关键工具是否仍在手动清单；计划删除列表里是否出现运行时、网络、备份或监控工具；某个自动包是否只是被错误地遗留为孤立依赖。只有确认候选列表符合预期，才考虑去掉 -s 执行真实清理。

误标记和 manual 的边界怎么处理

如果某个包只是临时依赖，手动标记会让系统长期保留它，久而久之会让自动清理失去效果。确认它不再是独立需求后，可以恢复为自动安装：

# 只有确认该包不需要独立保留时，才恢复为自动安装
sudo apt-mark auto package-name

# 恢复后再次模拟清理，观察它是否进入候选列表
sudo apt-get -s autoremove

还要区分三个动作：manual 保护的是“不要仅因孤立依赖而自动清理”；auto 恢复的是“允许依赖关系重新决定是否需要”；hold 则是另一套选择状态，用来阻止包被自动安装、升级或移除。manual 并不能阻止管理员明确执行 remove 或 purge，也不是版本冻结方案。

维护流水线里的最小检查清单

• 关键工具是否因为脚本、元包或开发环境卸载而变成了 auto？
• 标记前是否确认包已经安装，以及它是否确实需要独立保留？
• 执行 autoremove 前是否读取了完整的模拟删除列表？
• 是否把 manual、auto、hold 混为同一种“保护”语义？
• 维护后是否保留了本次标记变更的记录，方便下次排查？

常见问题

apt-mark manual 会重新安装已经被删除的包吗？

不会。它用于设置已安装包的手动安装标记；包不存在时应先完成安装，再设置标记。

manual 标记后还需要运行 autoremove 吗？

不需要为了“生效”而立即运行。标记本身就是状态变更；更稳妥的做法是先模拟 autoremove，确认计划删除列表没有关键工具。

为什么标成 manual 仍然可能被删除？

因为 manual 只针对自动清理的依赖判断。显式 remove、purge、脚本中的强制变更或其他管理工具仍可能删除它；需要冻结所有自动动作时，应单独设计 hold 或权限流程。