> 密码是守护Linux系统的第一道防线，而掌握正确的修改方式则是每位管理员的必修课。本文不仅教你操作，更揭示背后的安全逻辑与最佳实践。
一、密码为何如此重要？理解Linux认证核心
在Linux系统中，用户密码（更准确地说是密码的单向哈希值）默认存储在`/etc/shadow`文件中，而非早年的`/etc/passwd`。这种设计极大提升了安全性：
`/etc/shadow` 文件仅对`root`用户可读
密码采用强加密算法存储（如SHA512）
包含密码过期策略、修改时间戳等关键元数据
深入理解： 当用户输入密码时，系统将其加密并与存储的哈希值比对。匹配≠解密，即使获取`shadow`文件，反向破解强密码也极其困难。
二、基础操作：修改当前用户密码 (`passwd`)
场景： 您已登录系统（普通用户或root），需要更新自己的密码。
bash
$ passwd
Changing password for user alice.
(current) UNIX password: 输入当前密码
New password: 输入新密码
Retype new password: 再次确认新密码
passwd: password updated successfully
关键点：
普通用户： 必须提供正确的当前密码才能修改。
root用户： 修改自身密码时也需提供当前root密码（除非刚以root登录且尚未过期）。
系统反馈： 成功或失败（如密码太简单、不匹配）均有明确提示。
⚠ 三、特权操作：root修改其他用户密码 (`passwd username`)
场景： 您拥有`root`权限（或通过`sudo`），需要修改其他用户的密码（如重置忘记密码、初始化账户）。
bash
方法1：直接使用root权限
$ sudo passwd bob 如果当前是普通用户但有sudo权限
[sudo] password for alice: 输入alice的sudo密码
New password: 为新用户bob设置新密码
Retype new password:
passwd: password updated successfully
方法2：切换到root用户后操作
$ sudo -i
passwd bob
New password:
Retype new password:
passwd: password updated successfully
深入理解与安全建议：
最小权限原则： 日常操作避免使用root。使用`sudo passwd username`比直接切换到root更安全。
密码重置风险： root修改用户密码无需知道原密码。这既是管理便利，也意味着密码重置操作必须严格记录并审计，以防滥用。
首次登录强制改密： 使用 `passwd expire bob` 可强制用户bob下次登录时立即修改密码。
四、进阶技巧：非交互式修改密码 (`chpasswd`/`usermod`)
场景： 自动化脚本、批量初始化账户、容器构建等无需人工交互的环境。
方法1：`chpasswd` 命令 (推荐)
bash
单用户：echo "username:newpassword" | sudo chpasswd
$ echo "bob:MySecurePass123!" | sudo chpasswd
批量修改：从文件读取 (格式：username:password)
$ sudo chpasswd < users_passwords.txt
方法2：`usermod` 命令 (修改已存在用户)
bash
$ sudo usermod -p "$(openssl passwd -6 'MySecurePass123!')" bob
'-6' 指定使用SHA512加密 (推荐)。需要先生成加密后的密码字符串。
关键点与警告：
`chpasswd`更安全高效： 避免在命令行或脚本中明文传递密码。`chpasswd` 从标准输入读取，可通过管道或文件重定向，减少密码暴露在进程列表或shell历史中的风险。
`usermod -p` 的危险性： 如果直接在命令行写明文密码（如`usermod -p MyPass bob`），密码会被记录在shell历史中！务必使用加密字符串，并考虑清理历史记录。
加密算法： 确保使用强加密（如`-6`指定SHA512）。系统默认算法在`/etc/login.defs`中设置（`ENCRYPT_METHOD SHA512`）。
五、密码策略强化：构建防御体系
仅会修改密码不够，必须设置合理策略防止弱密码。
1. `/etc/login.defs` 基础策略
bash
编辑配置文件
$ sudo nano /etc/login.defs
关键参数示例：
PASS_MAX_DAYS 90 密码最长有效期（天）
PASS_MIN_DAYS 7 密码最短有效期（防止频繁修改规避历史检查）
PASS_WARN_AGE 14 密码过期前多少天开始警告
PASS_MIN_LEN 12 密码最小长度（通常被PAM覆盖）
ENCRYPT_METHOD SHA512 默认密码加密算法 (强烈推荐)
2. PAM (Pluggable Authentication Modules) 高级策略
模块：`pam_pwquality` (旧版称`pam_cracklib`)
配置文件：`/etc/security/pwquality.conf` 或 `/etc/pam.d/system-auth` / `/etc/pam.d/common-password`
bash
示例 /etc/security/pwquality.conf 配置
minlen = 12
minclass = 3 要求包含至少3类字符（数字、小写、大写、符号）
dcredit = -1 要求至少1个数字
ucredit = -1 要求至少1个大写字母
ocredit = -1 要求至少1个特殊符号
lcredit = -1 要求至少1个小写字母
maxrepeat = 3 禁止连续重复字符超过3个
reject_username = yes 禁止密码中包含用户名
enforce_for_root = yes 对root用户也强制执行策略！
3. 密码历史与重复限制 (`pam_unix`/`pam_pwhistory`)
bash
在PAM配置文件中添加（如/etc/pam.d/system-auth）
password required pam_pwhistory.so remember=5 use_authtok 记住最近5次密码，禁止重复
password required pam_unix.so sha512 shadow try_first_pass
深入建议：
定期审计： 使用 `chage -l username` 查看用户密码过期信息。
强制修改： 对可疑或长期未改密码的用户，用 `chage -d 0 username` 强制其下次登录修改。
禁用密码登录： 对SSH等关键服务，考虑禁用密码认证，仅允许SSH密钥登录，这是防暴力破解的最强手段。
六、特殊情况处理：忘记密码与账户锁定
忘记root密码：
1. 重启系统，进入GRUB引导菜单。
2. 选择内核项，按 `e` 编辑启动参数。
3. 在 `linux` 行末尾添加 `init=/bin/bash` 或 `rd.break` (具体参数因发行版/systemd版本而异)。
4. 按 `Ctrl+X` 启动进入单用户模式（通常是root shell）。
5. 重新挂载根文件系统为可写： `mount -o remount,rw /`。
6. 使用 `passwd root` 重置密码。
7. 执行 `touch /.autorelabel` (SELinux系统需要) 并重启 (`exec /sbin/init` 或 `reboot -f`)。⚠️ 此操作需物理接触服务器！
用户账户解锁：
检查锁定状态：`passwd -S bob` (输出包含 `LK` 表示锁定)。
解锁账户：`sudo usermod -U bob` 或 `sudo passwd -u bob`。
锁定原因： 多次失败登录（由PAM模块 `pam_tally2` 或 `pam_faillock` 控制）或管理员手动锁定 (`usermod -L bob`)。
七、与专业建议
1. 密码不是万能的： 它是认证的基础要素，但绝非唯一。务必启用双因素认证 (2FA/MFA) (如Google Authenticator, YubiKey)，尤其是在暴露于公网的服务器或关键服务上。`pam_google_authenticator` 等模块可轻松集成。
2. 密码管理器是必备工具： 为每个系统/服务生成并存储长、随机、唯一的密码。推荐使用Bitwarden、1Password、KeePassXC等。
3. 避免常见密码与模式： 坚决杜绝 `password123`、`admin@2023`、公司名+年份等极易被字典攻击破解的密码。使用密码短语（如 `CorrectHorseBatteryStaple!`）比复杂但难记的短密码（如 `P@ssw0rd!`）更安全易记。
4. 定期轮换 vs 安全事件驱动轮换： 传统定期（如90天）修改策略已被NIST等机构认为效果有限，甚至可能导致用户采用更弱的密码或微小变体。更佳实践是：
设置较长的密码有效期（如1年），但要求高强度初始密码。
在发生安全事件（如凭证泄露、员工离职、怀疑被入侵）后立即强制重置密码。
持续监控异常登录尝试。
5. 特权账户管理：
限制root直接登录： 禁用SSH的 `PermitRootLogin`，强制通过`sudo`提权。
为管理员分配个人账户： 避免共享root或通用管理账户。
定期审计sudo权限： `sudo -lU username` 查看用户权限，`visudo` 编辑 `/etc/sudoers`。
6. 加密算法的演进： 关注安全通告。当现有加密算法（如SHA512）被证明存在严重漏洞时，及时更新系统并迁移到更强算法（如Argon2，部分系统已通过PAM支持）。
密码管理是动态的安全艺术
Linux密码修改看似简单，实则是系统安全管理的核心环节。从基础的`passwd`命令到复杂的PAM策略配置，从个人密码修改到企业级账户管理，无不体现着纵深防御和最小权限的安全理念。
请牢记： 技术只是手段，安全意识才是根本。将强密码策略、多因素认证、最小权限原则和持续的安全审计结合起来，才能为您的Linux系统构筑起真正坚固的城墙。️
