LibreOffice 在 Linux 上的安全设置
一 系统与软件更新
- 保持 LibreOffice 与操作系统为最新安全补丁版本，及时修复已知漏洞。历史上曾出现 OpenDocument 清单加密信息处理中的堆溢出问题（如 CVE-2012-2665），官方通过更新包修复，提示用户升级并重启应用后生效。建议配置发行版仓库自动更新，或在变更窗口内集中更新并重启 LibreOffice 进程。
- 在 RHEL/CentOS 环境中，优先启用并保持 SELinux 为 Enforcing 模式，利用其强制访问控制降低应用被攻陷后的横向影响；仅在对兼容性有明确把握时才临时切换为 Permissive 并尽快恢复。
- 使用 firewalld 实施最小暴露面策略（仅开放必要端口与服务），并定期审计规则与日志，减少攻击者可利用的入口。
二 文档与用户权限
- 利用 LibreOffice 内置的 文件加密/密码保护 功能对敏感文档进行访问控制：在 Writer/Calc/Impress 中通过“文件 → 另存为/保存 → 密码保护文档”设置强密码，避免通过明文渠道传输或共享未加密文件。
- 在 Linux 层面，以 最小权限原则 管理文档与目录：
- 使用 chmod/chown 设置合理的属主、属组与权限（如文档目录 750/文件 640），避免对“其他用户”开放写权限。
- 需要跨用户协作时，使用 ACL 进行细粒度授权，例如：setfacl -m u:alice:rw /path/file；必要时为共享目录设置默认 ACL（setfacl -d）以自动继承。
- 对关键目录（如用户主目录、共享资料库）启用 ACL 支持（例如 ext4 可通过 tune2fs -o acl 启用），以便灵活授权与回收。
三 运行环境与攻击面缩减
- 避免在 root 账户下直接运行 LibreOffice；为日常办公创建 普通用户 并通过 sudo 提权执行管理任务，降低因应用缺陷导致的权限提升风险。
- 精简启动与常驻服务，关闭不必要的 GUI/后台服务 与端口，降低被利用的可能性；仅保留必需的网络与打印服务，减少攻击面。
- 对系统账户进行治理：检查并锁定不必要的 UID 0 账户，清理不再使用的默认账户，减少潜在的提权与横向移动路径。
四 审计与维护
- 启用并监控系统与安全日志（如 auditd、journald），对 LibreOffice 相关目录与关键文件的访问、修改与执行进行审计；定期核查异常登录与策略违规事件。
- 建立 变更与更新流程：在测试环境验证 LibreOffice 与依赖库更新后，再在生产环境滚动升级，变更后重启应用并进行功能与兼容性回归检查。
- 对文档库实施 定期备份与离线留存，并校验完整性；在共享环境中对敏感资料进行 分类分级 与 访问审计，确保最小化可见性与可追溯性。