Debian 上 LibreOffice 的安全设置清单
一 系统与更新安全
- 使用 Debian 官方仓库与 APT 保持系统及 LibreOffice 为最新，及时获取安全修复；例如 Debian 12.10 曾发布 LibreOffice 安全更新，修补可能导致内存损坏的漏洞。执行：
sudo apt update && sudo apt upgrade。
- 卸载不再需要的旧版本或残留组件，减少攻击面：
sudo apt-get purge libreoffice*，随后 sudo apt-get clean && sudo apt-get autoremove。
- 如采用 Snap 安装，可获得依赖打包与进程隔离，有助于与系统其他部分隔离运行（命令：
sudo snap install libreoffice）。
二 LibreOffice 应用内安全设置
- 宏安全
- 路径：工具 > 选项 > 安全 > 宏安全性。建议将宏安全级别设为高/非常高，仅对可信来源的宏启用；仅在必要时临时降低。
- 注意：将宏安全设为低后，文档可在打开时自动执行宏，存在被恶意利用的风险。
- 文档打开密码（Writer）
- 路径：文件 > 另存为 > 使用密码保存，勾选并设置密码，限制未授权访问。
- 文件共享密码（用于协作编辑限制）
- 在 Writer 中可为 .odt 设置“文件共享密码”：设置后文档默认以只读打开，需输入密码方可编辑；此机制仅适用于 .odt。
- PDF 导出加密与权限
- 路径：文件 > 导出为 PDF > PDF 选项 > 安全性 > 设置密码，可设置打开密码与权限密码（禁止打印、编辑、内容提取等）。建议同时设置两把密码以增强安全性。
三 系统级加固与审计
- AppArmor 强制访问控制
- 检查状态：
sudo aa-status。常见配置会将 /usr/bin/evince、/usr/sbin/cups-browsed 等置于强制模式，而 libreoffice-oosplash、libreoffice-soffice 可能处于控诉模式（仅记录不阻断），用于在不影响业务的前提下收集违规日志并逐步收敛策略。
- 审计日志
- 安装并启用审计服务：
sudo apt update && sudo apt install auditd；审计日志位于 /var/log/audit/audit.log，可记录关键系统调用与用户行为，用于合规与取证。
四 安全实践建议
- 优先使用 **ODF 格式（.odt/.ods/.odp）**进行保存与流转，必要时再转换为其他格式，降低格式兼容引入的风险。
- 对外发文档统一采用 PDF 加密与权限限制，并妥善保管“打开密码/权限密码”。
- 谨慎启用宏；对未知来源文档一律不启用宏，必要时在隔离环境（如虚拟机）中检查。
- 保持 LibreOffice 与 Debian 的安全更新常态化，及时修补已知漏洞。