passwd命令概述：系統安全的基石
在Linux和Unix-like操作系統中，passwd命令是管理用戶密碼的核心工具。它允許用戶更改自己的賬戶密碼，也賦予系統管理員（root用戶）管理其他用戶密碼的許可權，包括設置、鎖定、解鎖或移除密碼。passwd命令的正確使用和理解對於維護系統安全至關重要，因為它直接關係到用戶身份的驗證和系統資源的訪問控制。
本文將深入探討passwd命令的各個方面，從基本用法到高級選項，再到其背後的安全機制，旨在為您提供一個全面且詳細的指南。
用戶如何使用passwd命令更改自己的密碼？
對於普通用戶而言，passwd命令是最常用的密碼更改工具。這個過程通常是互動式的，確保了只有當前用戶能夠修改自己的密碼。
基本語法：
passwd
當您在終端中輸入passwd並回車后，系統會提示您依次輸入當前密碼、新密碼和確認新密碼。請務必記住，出於安全考慮，在輸入密碼時，終端不會顯示任何字元（包括星號或點號）。
密碼輸入流程：
- 當前密碼 (Current Password)： 首先，系統會要求您輸入當前的賬戶密碼，以驗證您的身份。這是防止未經授權的用戶更改密碼的關鍵一步。
- 新密碼 (New Password)： 驗證通過後，您將被要求輸入新的密碼。此時，請務必選擇一個強度高、不易被猜測的密碼。
- 確認新密碼 (Retype new password)： 接著，系統會要求您再次輸入新密碼，以確保您沒有打錯字。兩次輸入的密碼必須完全一致。
如果兩次輸入的新密碼不一致，或者新密碼不符合系統設置的密碼策略（如長度、複雜度等），passwd命令會提示錯誤信息，並要求您重新設置。
安全提示： 即使是普通用戶，也應定期更改密碼，並遵循強密碼策略。一個複雜的密碼通常包含大小寫字母、數字和特殊字元，且長度較長。
root用戶與passwd命令：強大的管理許可權
作為系統管理員（root用戶），passwd命令的功能遠不止更改自己的密碼。root用戶可以管理系統上任何其他用戶的密碼，這在用戶管理、故障排除和安全審計中非常有用。
更改其他用戶的密碼：
root用戶可以通過在passwd命令后直接指定用戶名來更改該用戶的密碼，而無需知道該用戶當前的密碼。
passwd [用戶名]
例如，要更改用戶名為testuser的密碼，root用戶只需輸入：
passwd testuser
系統同樣會提示root用戶輸入兩次新的密碼，而不會要求輸入testuser的舊密碼。這使得root用戶在用戶忘記密碼時能夠快速提供幫助。
passwd命令的常用選項與高級應用：
passwd命令提供了一系列選項，允許root用戶進行更精細的密碼管理操作，包括鎖定賬戶、設置密碼過期策略等。
-l, --lock：鎖定用戶賬戶密碼
此選項用於鎖定一個用戶的密碼，使其無法登錄。用戶賬戶本身仍然存在，只是密碼被「禁用」了。
passwd -l [用戶名]
例如：passwd -l testuser
鎖定后，該用戶的密碼欄位在/etc/shadow文件中會以感嘆號!開頭。
-u, --unlock：解鎖用戶賬戶密碼
此選項用於解鎖被-l選項鎖定的用戶密碼，使其能夠再次使用原有密碼登錄。
passwd -u [用戶名]
例如：passwd -u testuser
解鎖后，密碼欄位的感嘆號會被移除。
-d, --delete：刪除用戶密碼（設置空密碼）
此選項用於刪除用戶的密碼，使其無需密碼即可登錄。這通常不推薦用於日常操作，因為它極大地降低了賬戶安全性，但在特定測試環境或需要強制用戶首次登錄時設置密碼的場景下可能有用。
passwd -d [用戶名]
例如：passwd -d testuser
刪除后，密碼欄位會變為空白，表示無需密碼即可登錄。某些系統配置可能會阻止空密碼登錄，或者要求用戶首次登錄時必須設置密碼。
-e, --expire：強制用戶在下次登錄時更改密碼
此選項會使用戶的密碼立即過期，強制用戶在下一次成功登錄系統后立即更改密碼。這在臨時設置密碼或需要用戶更新密碼策略時非常有用。
passwd -e [用戶名]
例如：passwd -e testuser
-S, --status：顯示用戶密碼狀態信息
此選項用於顯示指定用戶的密碼狀態，包括：用戶名、密碼是否加密、上次更改密碼的日期、最小有效期、最大有效期、警告期、非活躍期等。
passwd -S [用戶名]
例如：passwd -S testuser
輸出示例：
testuser PS 2023-10-26 0 99999 7 -1 (密碼已設置，上次更改日期2023-10-26，最小0天，最大99999天，警告期7天，非活躍期-1)
-i, --inactive INACTIVE_DAYS：設置密碼非活躍期
此選項用於設置密碼過期后，用戶賬戶被鎖定的天數。如果用戶在密碼過期后超過INACTIVE_DAYS天仍未登錄並更改密碼，賬戶將被鎖定。
passwd -i [非活躍天數] [用戶名]
例如：passwd -i 30 testuser (表示密碼過期后30天未登錄則鎖定賬戶)
-x, --max-days MAX_DAYS：設置密碼最大有效期
此選項用於設置用戶密碼的最大使用天數。到期后，用戶將被強制更改密碼。
passwd -x [最大天數] [用戶名]
例如：passwd -x 90 testuser (表示密碼最長使用90天)
-n, --min-days MIN_DAYS：設置密碼最小有效期
此選項用於設置密碼更改后，至少需要間隔多少天才能再次更改。這有助於防止用戶頻繁更改密碼，從而規避密碼策略或利用密碼歷史記錄的漏洞。
passwd -n [最小天數] [用戶名]
例如：passwd -n 7 testuser (表示密碼更改后至少7天才能再次更改)
-w, --warndays WARN_DAYS：設置密碼過期警告期
此選項用於設置密碼到期前，系統開始向用戶發送密碼即將過期警告的天數。
passwd -w [警告天數] [用戶名]
例如：passwd -w 14 testuser (表示密碼到期前14天開始警告)
passwd命令背後的秘密：/etc/passwd與/etc/shadow
要真正理解passwd命令的工作原理，我們需要了解Linux/Unix系統中用於存儲用戶賬戶信息和密碼信息的兩個關鍵文件：/etc/passwd和/etc/shadow。
/etc/passwd文件：用戶基本信息
/etc/passwd文件存儲了系統中所有用戶的基本信息，每行代表一個用戶賬戶，以冒號:分隔七個欄位：
- 用戶名 (username)
- 密碼佔位符 (password placeholder)：早期的Unix系統將加密密碼直接存儲在此處。但出於安全考慮，現代系統通常用一個
x或*作為佔位符，真正的加密密碼存儲在/etc/shadow文件中。 - 用戶ID (UID)
- 組ID (GID)
- 用戶描述信息 (comment/GECOS field)
- 用戶主目錄 (home directory)
- 默認Shell (default shell)
例如：
testuser:x:1001:1001:Test User:/home/testuser:/bin/bash
當您使用passwd命令更改密碼時，它並不會直接修改/etc/passwd中的x，而是操作/etc/shadow文件。
/etc/shadow文件：密碼的加密存儲與管理
/etc/shadow文件是存儲加密密碼和密碼過期信息的地方。它具有嚴格的許可權，通常只有root用戶才能讀取，這大大增強了系統安全性。該文件每行代表一個用戶，同樣以冒號:分隔，但包含的欄位更多：
- 用戶名 (username)
- 加密密碼 (encrypted password)：這是通過單向哈希演算法加密后的密碼字元串。由於是單向哈希，無法從這個字元串逆向推導出原始密碼。
- 上次更改密碼的日期 (last changed date)：從1970年1月1日（Unix紀元）起算的天數。
- 密碼最小有效期 (minimum days)：密碼更改后，用戶在多少天內不能再次更改密碼。
- 密碼最大有效期 (maximum days)：密碼在多少天後必須更改。
- 密碼過期前警告期 (warning days)：密碼即將過期前多少天開始警告用戶。
- 密碼非活躍期 (inactive days)：密碼過期后，用戶在多少天內未登錄則賬戶被鎖定。
- 賬戶過期日期 (account expiration date)：賬戶完全失效的日期（從Unix紀元起算的天數）。
- 保留欄位 (reserved field)
例如：
testuser:$6$rounds=40000$hTf...$L9p...:19641:0:99999:7::18999:
passwd命令實際上通過與底層PAM（Pluggable Authentication Modules）模塊和系統庫交互，來修改/etc/shadow文件中的對應欄位。
密碼哈希：不可逆的加密過程
當您設置密碼時，passwd命令不會直接存儲您的明文密碼，而是使用一種單向哈希演算法（如SHA-512、MD5等）將其轉換為一串固定長度的字元，這個過程是不可逆的。即使攻擊者獲得了/etc/shadow文件，也無法直接從哈希值中推導出原始密碼。當用戶嘗試登錄時，系統會將用戶輸入的密碼進行相同的哈希處理，然後將結果與/etc/shadow中存儲的哈希值進行比較。如果兩者匹配，則驗證成功。
重要提示： 絕不應手動直接編輯
/etc/passwd或/etc/shadow文件，除非您非常清楚自己在做什麼，並且了解可能導致的嚴重後果（如賬戶損壞、系統無法登錄等）。始終通過passwd或其他專門的用戶管理命令來操作。
使用passwd命令時的安全最佳實踐
除了理解passwd命令本身，採取良好的安全實踐對於保護您的系統至關重要。
- 使用強密碼： 長度至少12-16位，包含大小寫字母、數字和特殊字元的組合。避免使用字典辭彙、個人信息或常見的序列。
- 定期更換密碼： 即使密碼強度高，也應定期更換（例如每90天），尤其是對特權賬戶。
- 不要重複使用密碼： 為不同的服務和系統設置不同的密碼。
- 避免共享密碼： 任何情況下都不要將您的密碼透露給他人。
- 限制root許可權： 僅在執行需要root許可權的任務時才切換到root用戶，日常操作使用普通用戶。
- 啟用密碼策略： 利用
passwd命令的選項（如-x,-n,-w）以及系統層面的PAM配置（通常在/etc/pam.d/目錄下），強制執行嚴格的密碼策略。
常見問題解答 (FAQ)
如何重置忘記的root密碼？
答： 如果您忘記了root密碼，不能直接使用passwd命令來重置，因為您沒有root許可權。通常需要通過進入Linux系統的單用戶模式（或恢復模式）來重置。在啟動系統時，編輯引導載入程序（如GRUB）的啟動參數，添加init=/bin/bash或rd.break等選項，以獲取一個無需密碼的root shell，然後才能使用passwd命令來重置root用戶的密碼。具體步驟因Linux發行版而異。
為何輸入密碼時沒有顯示？
答： 這是出於安全考慮的設計。在終端中輸入密碼時，即使是星號（*）或點號（.）也不會顯示，以防止旁人通過屏幕窺視到密碼的長度或字元輸入過程。這是一種標準的Unix/Linux行為，確保了密碼的保密性。
passwd命令報錯"Authentication token manipulation error"是什麼意思？
答： 這個錯誤通常表示passwd命令無法成功修改用戶的認證令牌或密碼文件。最常見的原因是文件許可權問題（/etc/shadow文件的許可權被錯誤修改）、磁碟空間不足、文件系統只讀掛載或PAM配置問題。確保/etc/shadow文件的許可權是0640或0400，並且所有者是root:shadow，同時檢查磁碟空間和文件系統狀態。
我可以使用passwd命令設置空密碼嗎？
答： 可以，root用戶可以使用passwd -d [用戶名]命令來刪除用戶的密碼，從而使其賬戶無需密碼即可登錄。但強烈不推薦這樣做，因為它會嚴重削弱賬戶的安全性。在某些系統配置下，即使設置了空密碼，也可能因為PAM模塊的配置而無法登錄。
passwd命令設置的密碼策略在哪裡配置？
答： passwd命令所遵循的密碼策略（如最小長度、複雜度要求、密碼歷史等）主要通過以下方式配置：
/etc/login.defs文件： 包含了用戶賬戶和密碼的一些全局默認設置，如密碼的最長/最短使用天數、警告天數等。- PAM（Pluggable Authentication Modules）模塊： 這是Linux認證的核心框架。在
/etc/pam.d/目錄下的對應服務配置文件（如common-password,system-auth等）中，可以配置各種密碼模塊，例如pam_cracklib.so用於強制密碼複雜度，pam_unix.so用於管理密碼歷史等。passwd命令在設置密碼時會調用這些PAM模塊來檢查新密碼是否符合策略要求。
