用途：对单台 Linux 服务器（或其配置即代码仓库）评估补丁纪律与攻击面最小化，按优先级回答发行版身份与生命周期阶段、重启欠账、待装更新清单、自动更新机制、重启诚实性、攻击面收缩、内核模块加固选项、主机级运行时版本现状。所有采集命令均为只读，变更命令仅出现在修复环节；需要 root 的命令标注 [ROOT]，无 root 时审计全局可读状态与配置仓库。
主要能力：解析 /etc/os-release 判断发行版家族与生命周期阶段，不确定时标 Needs-Review 并保留原始版本串，不臆造 EOL 日期；对比 uname -r 与已安装内核包识别重启欠账；用 apt list --upgradable、apt-get -s dist-upgrade、dnf check-update、dnf updateinfo list security、apk version -l '<' 统计待装与安全更新；检查 unattended-upgrades 配置与 apt-daily 定时器、dnf-automatic/yum-cron 的 apply_updates 与定时器；用 uptime 评估延迟重启；用 systemctl is-active/is-enabled 双维度检查 rpcbind、avahi-daemon、cups、postfix、xinetd、samba、telnet/rsh/tftp/ftp 等风险服务；用 ss -tulpn 与 dpkg -S/rpm -qf 定位无主监听；记录 python3/node/php 版本。
使用方式：先运行资料中给出的只读扫描片段，再按八个主题逐项深入；发行版差异需先检测再判断，不可把 Debian 取值套用到 RHEL 或 Alpine。
适用场景：单机或配置仓库的补丁与攻击面审计、维护窗口规划、服务精简决策。
限制：应用依赖补丁、防火墙暴露规则、sshd/PAM/sysctl 基线属于其他模块，不在范围内；版本号在企业发行版上会因 backport 而失真，需查 changelog；apt 缓存过期会低估更新数，只读审计中不执行 apt-get update；Alpine 无自带无人值守机制，缺失时标 Needs-Review；内核模块黑名单须先确认非关键依赖（如 vfat 用于 EFI、squashfs 用于容器）再部署。