passwd命令概述：系统安全的基石
在Linux和Unix-like操作系统中，passwd命令是管理用户密码的核心工具。它允许用户更改自己的账户密码，也赋予系统管理员（root用户）管理其他用户密码的权限，包括设置、锁定、解锁或移除密码。passwd命令的正确使用和理解对于维护系统安全至关重要，因为它直接关系到用户身份的验证和系统资源的访问控制。
本文将深入探讨passwd命令的各个方面，从基本用法到高级选项，再到其背后的安全机制，旨在为您提供一个全面且详细的指南。
用户如何使用passwd命令更改自己的密码？
对于普通用户而言，passwd命令是最常用的密码更改工具。这个过程通常是交互式的，确保了只有当前用户能够修改自己的密码。
基本语法：
passwd
当您在终端中输入passwd并回车后，系统会提示您依次输入当前密码、新密码和确认新密码。请务必记住，出于安全考虑，在输入密码时，终端不会显示任何字符（包括星号或点号）。
密码输入流程：
- 当前密码 (Current Password)： 首先，系统会要求您输入当前的账户密码，以验证您的身份。这是防止未经授权的用户更改密码的关键一步。
- 新密码 (New Password)： 验证通过后，您将被要求输入新的密码。此时，请务必选择一个强度高、不易被猜测的密码。
- 确认新密码 (Retype new password)： 接着，系统会要求您再次输入新密码，以确保您没有打错字。两次输入的密码必须完全一致。
如果两次输入的新密码不一致，或者新密码不符合系统设置的密码策略（如长度、复杂度等），passwd命令会提示错误信息，并要求您重新设置。
安全提示： 即使是普通用户，也应定期更改密码，并遵循强密码策略。一个复杂的密码通常包含大小写字母、数字和特殊字符，且长度较长。
root用户与passwd命令：强大的管理权限
作为系统管理员（root用户），passwd命令的功能远不止更改自己的密码。root用户可以管理系统上任何其他用户的密码，这在用户管理、故障排除和安全审计中非常有用。
更改其他用户的密码：
root用户可以通过在passwd命令后直接指定用户名来更改该用户的密码，而无需知道该用户当前的密码。
passwd [用户名]
例如，要更改用户名为testuser的密码，root用户只需输入：
passwd testuser
系统同样会提示root用户输入两次新的密码，而不会要求输入testuser的旧密码。这使得root用户在用户忘记密码时能够快速提供帮助。
passwd命令的常用选项与高级应用：
passwd命令提供了一系列选项，允许root用户进行更精细的密码管理操作，包括锁定账户、设置密码过期策略等。
-l, --lock：锁定用户账户密码
此选项用于锁定一个用户的密码，使其无法登录。用户账户本身仍然存在，只是密码被“禁用”了。
passwd -l [用户名]
例如：passwd -l testuser
锁定后，该用户的密码字段在/etc/shadow文件中会以感叹号!开头。
-u, --unlock：解锁用户账户密码
此选项用于解锁被-l选项锁定的用户密码，使其能够再次使用原有密码登录。
passwd -u [用户名]
例如：passwd -u testuser
解锁后，密码字段的感叹号会被移除。
-d, --delete：删除用户密码（设置空密码）
此选项用于删除用户的密码，使其无需密码即可登录。这通常不推荐用于日常操作，因为它极大地降低了账户安全性，但在特定测试环境或需要强制用户首次登录时设置密码的场景下可能有用。
passwd -d [用户名]
例如：passwd -d testuser
删除后，密码字段会变为空白，表示无需密码即可登录。某些系统配置可能会阻止空密码登录，或者要求用户首次登录时必须设置密码。
-e, --expire：强制用户在下次登录时更改密码
此选项会使用户的密码立即过期，强制用户在下一次成功登录系统后立即更改密码。这在临时设置密码或需要用户更新密码策略时非常有用。
passwd -e [用户名]
例如：passwd -e testuser
-S, --status：显示用户密码状态信息
此选项用于显示指定用户的密码状态，包括：用户名、密码是否加密、上次更改密码的日期、最小有效期、最大有效期、警告期、非活跃期等。
passwd -S [用户名]
例如：passwd -S testuser
输出示例：
testuser PS 2023-10-26 0 99999 7 -1 (密码已设置，上次更改日期2023-10-26，最小0天，最大99999天，警告期7天，非活跃期-1)
-i, --inactive INACTIVE_DAYS：设置密码非活跃期
此选项用于设置密码过期后，用户账户被锁定的天数。如果用户在密码过期后超过INACTIVE_DAYS天仍未登录并更改密码，账户将被锁定。
passwd -i [非活跃天数] [用户名]
例如：passwd -i 30 testuser (表示密码过期后30天未登录则锁定账户)
-x, --max-days MAX_DAYS：设置密码最大有效期
此选项用于设置用户密码的最大使用天数。到期后，用户将被强制更改密码。
passwd -x [最大天数] [用户名]
例如：passwd -x 90 testuser (表示密码最长使用90天)
-n, --min-days MIN_DAYS：设置密码最小有效期
此选项用于设置密码更改后，至少需要间隔多少天才能再次更改。这有助于防止用户频繁更改密码，从而规避密码策略或利用密码历史记录的漏洞。
passwd -n [最小天数] [用户名]
例如：passwd -n 7 testuser (表示密码更改后至少7天才能再次更改)
-w, --warndays WARN_DAYS：设置密码过期警告期
此选项用于设置密码到期前，系统开始向用户发送密码即将过期警告的天数。
passwd -w [警告天数] [用户名]
例如：passwd -w 14 testuser (表示密码到期前14天开始警告)
passwd命令背后的秘密：/etc/passwd与/etc/shadow
要真正理解passwd命令的工作原理，我们需要了解Linux/Unix系统中用于存储用户账户信息和密码信息的两个关键文件：/etc/passwd和/etc/shadow。
/etc/passwd文件：用户基本信息
/etc/passwd文件存储了系统中所有用户的基本信息，每行代表一个用户账户，以冒号:分隔七个字段：
- 用户名 (username)
- 密码占位符 (password placeholder)：早期的Unix系统将加密密码直接存储在此处。但出于安全考虑，现代系统通常用一个
x或*作为占位符，真正的加密密码存储在/etc/shadow文件中。 - 用户ID (UID)
- 组ID (GID)
- 用户描述信息 (comment/GECOS field)
- 用户主目录 (home directory)
- 默认Shell (default shell)
例如：
testuser:x:1001:1001:Test User:/home/testuser:/bin/bash
当您使用passwd命令更改密码时，它并不会直接修改/etc/passwd中的x，而是操作/etc/shadow文件。
/etc/shadow文件：密码的加密存储与管理
/etc/shadow文件是存储加密密码和密码过期信息的地方。它具有严格的权限，通常只有root用户才能读取，这大大增强了系统安全性。该文件每行代表一个用户，同样以冒号:分隔，但包含的字段更多：
- 用户名 (username)
- 加密密码 (encrypted password)：这是通过单向哈希算法加密后的密码字符串。由于是单向哈希，无法从这个字符串逆向推导出原始密码。
- 上次更改密码的日期 (last changed date)：从1970年1月1日（Unix纪元）起算的天数。
- 密码最小有效期 (minimum days)：密码更改后，用户在多少天内不能再次更改密码。
- 密码最大有效期 (maximum days)：密码在多少天后必须更改。
- 密码过期前警告期 (warning days)：密码即将过期前多少天开始警告用户。
- 密码非活跃期 (inactive days)：密码过期后，用户在多少天内未登录则账户被锁定。
- 账户过期日期 (account expiration date)：账户完全失效的日期（从Unix纪元起算的天数）。
- 保留字段 (reserved field)
例如：
testuser:$6$rounds=40000$hTf...$L9p...:19641:0:99999:7::18999:
passwd命令实际上通过与底层PAM（Pluggable Authentication Modules）模块和系统库交互，来修改/etc/shadow文件中的对应字段。
密码哈希：不可逆的加密过程
当您设置密码时，passwd命令不会直接存储您的明文密码，而是使用一种单向哈希算法（如SHA-512、MD5等）将其转换为一串固定长度的字符，这个过程是不可逆的。即使攻击者获得了/etc/shadow文件，也无法直接从哈希值中推导出原始密码。当用户尝试登录时，系统会将用户输入的密码进行相同的哈希处理，然后将结果与/etc/shadow中存储的哈希值进行比较。如果两者匹配，则验证成功。
重要提示： 绝不应手动直接编辑
/etc/passwd或/etc/shadow文件，除非您非常清楚自己在做什么，并且了解可能导致的严重后果（如账户损坏、系统无法登录等）。始终通过passwd或其他专门的用户管理命令来操作。
使用passwd命令时的安全最佳实践
除了理解passwd命令本身，采取良好的安全实践对于保护您的系统至关重要。
- 使用强密码： 长度至少12-16位，包含大小写字母、数字和特殊字符的组合。避免使用字典词汇、个人信息或常见的序列。
- 定期更换密码： 即使密码强度高，也应定期更换（例如每90天），尤其是对特权账户。
- 不要重复使用密码： 为不同的服务和系统设置不同的密码。
- 避免共享密码： 任何情况下都不要将您的密码透露给他人。
- 限制root权限： 仅在执行需要root权限的任务时才切换到root用户，日常操作使用普通用户。
- 启用密码策略： 利用
passwd命令的选项（如-x,-n,-w）以及系统层面的PAM配置（通常在/etc/pam.d/目录下），强制执行严格的密码策略。
常见问题解答 (FAQ)
如何重置忘记的root密码？
答： 如果您忘记了root密码，不能直接使用passwd命令来重置，因为您没有root权限。通常需要通过进入Linux系统的单用户模式（或恢复模式）来重置。在启动系统时，编辑引导加载程序（如GRUB）的启动参数，添加init=/bin/bash或rd.break等选项，以获取一个无需密码的root shell，然后才能使用passwd命令来重置root用户的密码。具体步骤因Linux发行版而异。
为何输入密码时没有显示？
答： 这是出于安全考虑的设计。在终端中输入密码时，即使是星号（*）或点号（.）也不会显示，以防止旁人通过屏幕窥视到密码的长度或字符输入过程。这是一种标准的Unix/Linux行为，确保了密码的保密性。
passwd命令报错"Authentication token manipulation error"是什么意思？
答： 这个错误通常表示passwd命令无法成功修改用户的认证令牌或密码文件。最常见的原因是文件权限问题（/etc/shadow文件的权限被错误修改）、磁盘空间不足、文件系统只读挂载或PAM配置问题。确保/etc/shadow文件的权限是0640或0400，并且所有者是root:shadow，同时检查磁盘空间和文件系统状态。
我可以使用passwd命令设置空密码吗？
答： 可以，root用户可以使用passwd -d [用户名]命令来删除用户的密码，从而使其账户无需密码即可登录。但强烈不推荐这样做，因为它会严重削弱账户的安全性。在某些系统配置下，即使设置了空密码，也可能因为PAM模块的配置而无法登录。
passwd命令设置的密码策略在哪里配置？
答： passwd命令所遵循的密码策略（如最小长度、复杂度要求、密码历史等）主要通过以下方式配置：
/etc/login.defs文件： 包含了用户账户和密码的一些全局默认设置，如密码的最长/最短使用天数、警告天数等。- PAM（Pluggable Authentication Modules）模块： 这是Linux认证的核心框架。在
/etc/pam.d/目录下的对应服务配置文件（如common-password,system-auth等）中，可以配置各种密码模块，例如pam_cracklib.so用于强制密码复杂度，pam_unix.so用于管理密码历史等。passwd命令在设置密码时会调用这些PAM模块来检查新密码是否符合策略要求。
