gecos字段在/etc/passwd第五列，用getent passwd或cut -d: -f1,5 /etc/passwd查看；需结合lastlog与chage判断僵尸号，空备注不等于异常。
怎么查账户的备注字段（GECOS）
Linux 用户账户的备注信息存在 /etc/passwd 第五列，也就是 GECOS 字段，它通常包含真实姓名、办公室、电话等——但实际中多数人留空或填得随意。直接用 getent passwd 或 cut -d: -f1,5 /etc/passwd 能快速拉出所有账号和备注，注意别只看 cat /etc/passwd，因为 NIS/LDAP 账户可能不在此文件里。
-
getent passwd比cat /etc/passwd更可靠，能覆盖 NSS 配置的所有后端 - 备注字段用逗号分隔，但系统并不强制校验格式；有人写
admin,,,，也有人写运维组-张三-2023入职，不能靠逗号数量判断有效性 - 如果字段为空（即两个连续冒号：
::），说明没填备注，但这不等于账号可疑——很多自动化创建的 service account 就是这样
哪些账号大概率是僵尸号（lastlog + chage 联合判断）
单看备注没用，真正识别僵尸号得结合登录行为和密码策略。重点不是“多久没登录”，而是“是否还有任何活动痕迹”。lastlog 显示最后一次成功登录时间，chage -l 看密码过期状态，两者要一起看。
-
lastlog -b 365列出一年内没登录过的账号（-b是 before，不是 after） -
chage -l <code>username中关注Password expires和Account expires：如果密码已过期且账户未设宽限期，基本可判定失效 - 特别注意
root、nobody、sync这类系统账号，lastlog可能显示**Never logged in**，这是正常的，别误删 - 用
awk -F: '$3 先筛出 UID
备注字段里藏了哪些危险信号（正则匹配实战）
人工翻备注效率低，但用简单正则能抓出明显异常模式。GECOS 字段本身无结构约束，所以重点不是“合规”，而是“反常”。
-
^$（空）或^,+,+$（纯逗号）值得标记，尤其搭配长期未登录时 -
test|demo|temp|202[0-9]|old|backup这类词高频出现，不是绝对僵尸，但优先复查 - 含邮箱或手机号的备注反而更可信（比如
zhangsan@company.com），但需防伪造——得交叉验证id -Gn是否属于活跃组 - 避免用
.*[0-9]{4}.*匹配年份：有些用户名就是user2024，备注里写2024实习生也是合理的
为什么不能只依赖 passwd -S 判断账号状态
passwd -S 只反映密码锁状态（L = locked，P = password set），但僵尸号往往处于“密码有效但用户弃用”状态。它不体现登录历史、shell 类型、home 目录是否存在，容易漏判。
-
passwd -S username显示P并不意味账号活跃；可能密码没过期，但用户三年没碰过终端 - 如果
/etc/passwd中 shell 是/usr/sbin/nologin或/bin/false，lastlog必然为空，此时再查备注就意义不大——这类账号本就不该登录 - 真正要警惕的是 shell 为
/bin/bash或/bin/sh、密码有效、但lastlog超过 180 天且备注为空/乱填的组合
备注字段本身不参与认证或权限控制，但它和登录行为、密码策略、shell 设置拼在一起，才能勾勒出一个账号的真实生命周期。单独拎出来 audit，很容易被“看着像人名”的假象骗过去。
