linux密码策略通过pam模块实现，核心是配置pam_pwquality.so（如minlen=12、difok=5、reject_username等）和pam_pwhistory.so（remember=24），并设置login.defs中pass_max_days等参数及chage命令微调。

Linux系统密码复杂度策略主要通过PAM（Pluggable Authentication Modules）模块实现，核心是配置/etc/pam.d/common-password（Debian/Ubuntu）或/etc/pam.d/system-auth（RHEL/CentOS）文件，结合pam_pwquality.so（新版）或pam_cracklib.so（旧版）控制密码强度。

启用并配置pam_pwquality.so强化密码规则

该模块替代了老旧的pam_cracklib，支持更细粒度的策略控制。需确保已安装libpwquality包（如yum install libpwquality或apt install libpwquality-tools）。

在对应PAM配置文件中添加或修改如下行（以Ubuntu为例）：

password [success=1 default=ignore] pam_pwquality.so retry=3 minlen=12 difok=5 \
    dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 \
    maxrepeat=3 reject_username enforce_for_root

• minlen=12：最小长度12位（注意：实际最小长度还受minclass和字符类型分布影响）
• dcredit=-1等参数：分别要求至少1位数字、大写字母、小写字母、特殊字符
• difok=5：新密码与旧密码至少5个字符不同
• maxrepeat=3：禁止连续4个及以上相同字符（如aaabbb允许，aaaa拒绝）
• reject_username：禁止密码包含用户名（含反转）
• enforce_for_root：对root用户同样生效（默认不强制）

限制密码重用与历史记录

防止用户循环使用旧密码，需配合pam_pwhistory.so（RHEL系）或pam_unix.so（Debian系）启用历史记录功能。

在common-password中添加：

password required pam_pwhistory.so remember=24 use_authtok

• remember=24：保存最近24次密码哈希（存于/etc/security/opasswd），新密码不得与其中任一重复
• use_authtok：避免在密码修改流程中重复调用其他模块，确保策略一致
• 首次启用时需手动创建/etc/security/opasswd（空文件即可），权限设为600

设置密码生命周期与过期提醒

通过/etc/login.defs统一配置全局策略，并可为单个用户微调：

• PASS_MAX_DAYS 90：密码最长有效期90天
• PASS_MIN_DAYS 7：修改密码后至少7天才能再次修改（防绕过）
• PASS_WARN_AGE 7：到期前7天开始登录时提醒用户
• 对已有用户执行：chage -M 90 -m 7 -W 7 username
• 禁用密码过期（如服务账户）：chage -E -1 username

加固PAM认证流程防绕过

避免因配置顺序或条件判断导致策略被跳过：

• 确保pam_pwquality.so行位于pam_unix.so之前，且使用[success=1 default=ignore]跳过后续弱策略模块
• 注释或删除可能降低安全性的旧规则，例如含md5、nis或try_first_pass但未配强校验的行
• 测试配置是否生效：sudo passwd testuser，尝试设置123456、testuser123等弱密码，应被明确拒绝并提示原因
• 检查日志：journalctl -t pam_pwquality 或 /var/log/auth.log 查看拒绝详情