生产环境推荐采用“混合模式”：安全补丁启用自动安装以缩短漏洞暴露窗口，内核或大版本升级保留手动控制以确保稳定性。
先说结论：单一方式无法兼顾安全与稳定，建议底层库自动更新，应用与内核手动控制。
- 适合场景：自动更新适用于远程服务器安全维护，手动更新适合核心业务系统定制环境。
- 重点看：更新前需评估兼容性，自动更新需配置避开业务高峰并禁用关键组件自动升级。
- 别忽略：必须保留回滚方案，手动更新前需在测试环境验证，自动更新需开启邮件通知。
命令速用版
Linux 系统可通过包管理工具配置自动安全更新，Windows 系统可通过组策略或设置界面控制更新行为。
# Ubuntu 配置自动安全更新
sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades
# CentOS 配置 yum-cron
sudo yum install yum-cron
sudo systemctl enable yum-cron
# Windows 手动检查更新
Win + I -> 更新和安全 -> 检查更新为什么会这样
自动更新能解决手动更新易遗漏、效率低和不及时的问题，但可能引发兼容性问题。
手动更新允许管理员评估内容并选择时机，但容易错过漏洞修复的黄金时间。生产环境需要在“安全风险”与“稳定性风险”之间取得平衡，因此混合策略优于单一策略。
分步处理
第一步：分类补丁。将安全补丁与功能更新分开，安全补丁优先自动处理。
第二步：配置自动更新范围。编辑配置文件明确允许的更新源，黑名单包防止关键组件被升级。
第三步：设置维护窗口。配置自动重启时间为凌晨低峰时段，避免业务中断。
第四步：手动验证大版本。重大版本升级前，先在备用工作区或测试环境试跑，观察配置是否失效。
怎么验证是否生效
Linux 系统查看/var/log/unattended-upgrades.log 或/var/log/yum.log 确认更新记录。
Windows 系统进入设置 -> 更新和安全 -> 更新历史记录，确认补丁安装状态。
验证后需重启系统（尤其是内核更新）并检查关键服务运行状态。
常见坑
自动更新可能在工作时间强制重启，需配置延迟或禁止自动重启。
手动下载补丁时需验证数字签名，避免第三方篡改导致安全风险。
自动更新服务若被禁用或设置为“仅通知”，实际未完成补丁安装，需检查更新历史记录。
常见问题
自动更新会导致系统崩溃吗？
配置不当可能引发兼容性问题，建议禁用自动更新内核或关键组件，仅允许安全补丁。
手动更新太慢怎么办？
可使用 Ansible 等工具实现批量受控更新，确保安全性与稳定性平衡。
更新失败如何回滚？
Windows 可通过“卸载更新”恢复，Linux 可通过包管理器降级或恢复备份。
参考来源
- Linux 自动更新实战：一套配置实现安全补丁自动安装 (Ubuntu+CentOS)
- Linux 自动更新与手动更新最佳实践
- Windows 操作系统补丁的安装方法主要有两种
- 如何及时更新 Linux 系统补丁
- 微软月度安全更新部署实战指南