pam_unix.so 是默认本地密码认证模块，配置需理解模块类型、控制标记、include 机制及 auth/account 分工；修改应优先在服务文件测试，避免直接动 system-auth，并严格验证执行顺序与跳转逻辑。
pam_unix.so 是大多数 Linux 发行版默认使用的本地密码认证模块，但直接修改它或盲目添加规则常导致登录失败、SSH 拒绝连接、su 卡住等现象。配置 PAM 不是“加几行就完事”，关键在于理解模块类型、控制标记的执行逻辑，以及服务配置文件与系统级配置（如 system-auth）之间的包含关系。
为什么改了 /etc/pam.d/sshd 却没生效？
因为现代发行版（RHEL/CentOS 7+、Fedora、Ubuntu 18.04+）普遍采用「include」机制：实际策略集中在 system-auth 或 password-auth 这类共享文件中，sshd、login 等服务文件只是引用它们。
常见错误是只在 /etc/pam.d/sshd 里加了一行 auth required pam_deny.so，结果 SSH 登录全挂，却忘了检查 auth include system-auth 这一行是否仍在执行——它会把所有 system-auth 里的规则再跑一遍，你的新规则可能被绕过或冲突。
验证方法：
• 查看目标服务文件是否含 include 行（如 auth include system-auth）
• 进入 /etc/pam.d/system-auth，确认你要修改的模块是否已存在且位置合理
• 修改后用 ssh -o PubkeyAuthentication=no user@localhost 测试，避免密钥跳过 PAM 验证
auth 和 account 模块到底该放哪？
混淆这两类模块是导致「密码正确却拒绝登录」的最常见原因：
• auth 模块只管「你是谁」（比如校验密码、调用 LDAP、允许 root 免密），不检查账户状态
• account 模块才管「你能不能登」（比如账号是否过期、是否在 /etc/nologin、是否被 pam_time.so 限制时段）
典型误配：
• 把 account required pam_time.so 写进 auth 段 → 密码校验阶段就失败，用户甚至看不到「密码错误」提示
• 在 account 段漏掉 account required pam_access.so，却指望 auth 段的 pam_listfile.so 拦截非法用户 → 后者只影响认证结果，不阻止已通过认证的账户建立会话
正确做法：
• 用户白/黑名单、时间限制、shell 检查 → 放 account 段
• 密码校验、多因素触发、root 特权处理 → 放 auth 段
• 所有自定义规则尽量追加在对应段的「末尾」，避免干扰系统默认逻辑
如何安全启用双因素（2FA）而不锁死自己？
直接在 system-auth 的 auth 段加 pam_google_authenticator.so 并设为 required，极大概率导致 root 或管理员无法登录——尤其当 Google Authenticator 文件损坏、时间不同步或未预装时。
稳妥路径：
• 先在单个服务（如 /etc/pam.d/sshd）中测试，用 sufficient 而非 required：auth [success=done default=ignore] pam_google_authenticator.so nullok
• 确保同一 auth 段中仍有 pam_unix.so 作为 fallback：auth [success=ok default=bad] pam_unix.so try_first_pass
• 严格限制作用范围：不要动 system-auth，除非你确认所有服务（包括 sudo、login、gdm）都需 2FA
• 测试时永远保留一个未受 PAM 修改影响的 root shell（比如通过 console 或带密钥的另一台机器）
为什么 pam_rootok.so 有时不生效？
这个模块本意是让 root 用户跳过后续 auth 规则，但它只对「当前模块所在段」有效，且受控制标记影响。常见失效场景：
• 它被放在 auth 段中间，但前面已有 required 模块失败 → 整个 auth 链已判负，pam_rootok.so 根本不会执行
• 你在 account 段也想让 root 绕过检查，却只加了 auth 段的 pam_rootok.so → account 段仍会执行 pam_nologin.so 或 pam_time.so 等限制
• systemd-logind 或 display manager（如 GDM）绕过了传统 PAM login 流程，此时 pam_rootok.so 对图形登录无效
真正起效的写法：
• 在 auth 段开头加：auth [success=ok ignore=ignore default=bad] pam_rootok.so
• 若需在 account 段跳过，必须单独加一行：account [success=ok ignore=ignore default=bad] pam_rootok.so
• 记住：PAM 不是脚本，没有全局 bypass；每个模块类型（auth/account/session/password）都独立走一遍规则链
pamtester 或手动模拟登录流程验证，否则生产环境一次失误可能需要物理接触服务器才能恢复。
