在 Linux 系统的日常管理和安全维护中，用户密码管理是核心任务之一。无论是普通用户更新自身密码，还是系统管理员重置他人密码或恢复 root 权限，都需要掌握多种高效且安全的密码修改方法。本教程将深入探讨各种场景下的密码修改技巧，并融入重要的安全考量。
一、基础操作：passwd 命令详解
passwd 命令是 Linux 中修改用户密码最直接的工具，其行为会根据执行者的身份而有所不同：
1. 普通用户修改自身密码
bash
$ passwd
Changing password for current user (user1).
(current) UNIX password: 输入当前密码
New password: 输入新密码
Retype new password: 再次确认新密码
passwd: password updated successfully
关键点：普通用户必须验证当前密码才能设置新密码，这是基础安全机制。
2. root 用户修改其他用户密码
bash
passwd user2
New password:
Retype new password:
passwd: password updated successfully
权限差异：root 用户可直接修改任意用户密码，无需知晓其旧密码，体现了权限分离原则。
3. 高级选项应用
锁定/解锁账户：
bash
passwd -l user3 锁定user3，禁止登录
passwd -u user3 解锁user3
设置密码立即过期：
bash
passwd -e user4 强制user4下次登录时修改密码
> 深入建议：避免在脚本中使用 `passwd` 进行非交互式密码修改。若必须自动化，优先考虑更安全的替代方案（如 `chpasswd`），并严格审计脚本权限。
二、密码策略配置：提升系统安全性
Linux 提供了强大的密码策略控制机制，主要配置文件包括：
1. /etc/login.defs
bash
查看关键策略参数
$ grep -E 'PASS_MAX_DAYS|PASS_MIN_DAYS|PASS_WARN_AGE' /etc/login.defs
PASS_MAX_DAYS 90 密码最长有效期
PASS_MIN_DAYS 7 密码修改最短间隔
PASS_WARN_AGE 14 密码到期前提醒天数
2. /etc/security/pwquality.conf (或旧版/etc/pam.d/system-auth)
bash
配置密码复杂度要求
minlen = 12 最小长度
minclass = 3 至少包含3类字符（数字/大写/小写/符号）
dcredit = -1 至少包含1个数字
ucredit = -1 至少包含1个大写字母
lcredit = -1 至少包含1个小写字母
3. 使用 `chage` 命令管理账户策略
bash
查看用户密码策略详情
chage -l user5
Last password change : Mar 15, 2024
Password expires : Jun 13, 2024
Password inactive : never
Account expires : never
Minimum number of days between password change : 7
Maximum number of days between password change : 90
Number of days of warning before password expires : 14
设置密码最长有效期30天
chage -M 30 user5
> 安全实践：生产环境必须配置严格的密码策略。建议最小长度12位，强制包含大小写字母、数字和符号，并设置合理的有效期（如90天）。定期审计策略执行情况。
三、特殊场景处理：批量修改与密码恢复
场景1：批量修改密码
bash
使用chpasswd命令批量修改
echo "user6:NewSecurePass123!" | chpasswd
echo "user7:AnotherPass456@" | chpasswd
或从文件读取（确保文件权限为600）
chpasswd < user_passwords.txt
场景2：非交互式密码设置
bash
使用openssl生成加密密码
$ openssl passwd -6 'StrongPassword!'
$6$TRiEvJbB$dSfKxlLz4... 输出加密后的字符串
使用usermod应用加密密码
usermod -p '$6$TRiEvJbB$dSfKxlLz4...' user8
场景3：恢复 root 密码
1. 重启系统，在 GRUB 菜单选择内核时按 `e` 编辑
2. 在 `linux` 行末尾添加 `init=/bin/bash`
3. 按 `Ctrl+X` 启动进入单用户模式
4. 重新挂载根目录为读写模式：
bash
mount -o remount,rw /
5. 用 `passwd` 修改 root 密码
6. 强制刷新文件系统：` sync`
7. 重启系统：` exec /sbin/init`
> 关键提醒：物理服务器恢复密码需接触控制台，云服务器则需使用厂商提供的恢复模式（如 AWS 的 EC2 Rescue）。完成恢复后应立即审查日志，排查未授权访问痕迹。
四、深入安全机制：理解 Linux 密码存储
Linux 密码并非明文存储，而是经过哈希处理：
bash
$ sudo grep user9 /etc/shadow
user9:$y$j9T$Q4xU...:19422:7:90:14:::
字段解析：
1. `$y`：哈希算法标识（如 `$6$` 表示 SHA512, `$y` 表示 yescrypt）
2. `j9T$Q4xU...`：盐值 + 哈希值组合
3. `19422`：上次修改天数（从1970-1-1起）
4. `7`：最短修改间隔
5. `90`：最长有效期
6. `14`：到期前警告天数
安全强化建议：
1. 升级哈希算法：编辑 `/etc/login.defs` 设置：
bash
ENCRYPT_METHOD SHA512 或更新算法如yescrypt
2. 启用sudo密码反馈：在 `/etc/sudoers` 中添加：
bash
Defaults pwfeedback
3. 定期审计：使用 ` awk -F: '($2 == "") {print $1}' /etc/shadow` 检查空密码账户。
五、高级安全实践：超越基础密码策略
1. 双因素认证 (2FA)
bash
安装Google Authenticator
apt install libpam-google-authenticator
google-authenticator
编辑 `/etc/pam.d/sshd` 添加：
bash
auth required pam_google_authenticator.so
2. 密码管理器集成
bash
使用pass工具管理密码
$ sudo apt install pass
$ pass init 初始化GPG加密存储
$ pass generate user10 15 生成15位随机密码
3. 实时监控与告警
bash
检测密码修改行为
grep 'password changed' /var/log/auth.log
或使用auditd定制规则
auditctl -w /etc/shadow -p wa -k shadow_change
六、构建密码安全体系的核心原则
在 Linux 密码管理中需始终贯彻以下理念：
1. 最小权限原则：普通用户仅能修改自身密码，管理员操作需通过 sudo 授权
2. 纵深防御策略：基础密码策略 + 双因素认证 + 行为监控
3. 自动化安全审计：定期检查密码强度、空密码账户、异常修改记录
4. 应急响应机制：建立标准密码恢复流程，并限制物理访问权限
5. 用户教育：强制新员工首次登录修改密码，定期开展安全意识培训
> 终极建议：2024年应优先考虑使用SSH密钥替代密码登录关键服务器。若必须使用密码，务必启用双因素认证，并将密码策略与企业的IAM系统集成，实现集中化管理。
通过本教程，您不仅掌握了从基础到高级的密码修改技术，更深入理解了 Linux 密码管理的安全哲学。安全不是一次性的配置，而是持续优化的过程——定期审查您的密码策略，适应新的威胁形势，才能在不断变化的网络环境中保持系统稳固。
附录：常用命令速查表
| 命令 | 用途 | 示例 |
| `passwd` | 修改当前用户密码 | `passwd` |
| `passwd username` | root修改指定用户密码 | `sudo passwd webadmin` |
| `chpasswd` | 批量修改密码 | `echo "user:pass"｜chpasswd` |
| `chage -l username` | 查看密码过期信息 | `chage -l dbuser` |
| `chage -d 0 user` | 强制下次登录修改密码 | `sudo chage -d 0 dev1` |
| `usermod -L user` | 锁定账户 | `sudo usermod -L tempacc`|
| `pwscore` | 检查密码强度 (需libpwquality) | `echo "Pass123!"｜pwscore` |
