用 `systemctl enable --now` 把服务跑起来很容易，但"让服务按你想要的隔离与安全方式跑"常被忽略：默认 unit 进程以 root 跑、能读写全盘、能访问网络与主机资源——一旦这个服务被攻破就是一台机器的沦陷。systemd 自带一套"...