pkill -u username 是最常用且可靠的方式，但需先用 write 或 loginctl message 发送通知再执行，否则用户无预警断开；推荐 systemd 系统优先使用 loginctl kill-user 配合 message 实现带通知的强制登出。

Linux 中如何用 pkill 强制踢出指定用户并附带通知

直接 kill 用户的 shell 进程是最常用且可靠的方式，但默认不带消息。关键在于先发消息再杀进程，否则用户收不到提示。pkill 配合 wall 或 write 能做到原子性较弱但足够实用的“先通知后下线”。

常见错误是只运行 pkill -u username，结果用户终端瞬间断开，毫无预警。更糟的是用 killall -u username，可能误杀同名进程（比如用户运行了叫 python 的脚本，连系统 python 服务都挂了）。

• 先查活跃会话：who 或 w，确认用户名和终端（如 tty1、pts/2）
• 向该用户发送消息（需对方未禁用 mesg n）：echo "系统维护中，请保存数据" | write username pts/2
• 再强制终止其所有进程：pkill -u username（推荐）或 killall -u username（慎用）
• 若需更精准（只杀登录 shell，不碰后台任务），可用：pkill -u username -f "bash$|zsh$|sh$"

为什么 loginctl 是 systemd 系统的首选方案

在 CentOS 7+/RHEL 8+、Ubuntu 16.04+ 等使用 systemd 的服务器上，loginctl 才是官方支持的会话管理接口，它能区分登录会话、服务会话、容器会话，且自带消息能力。

直接 loginctl terminate-user username 不会发消息；必须分两步：先 loginctl lock-session（可选）再 loginctl kill-user，但真正带通知的是 loginctl message —— 它会把消息推到用户桌面或终端（如果启用了 logind 的消息总线）。

• 列出用户所有会话：loginctl list-users，再查具体会话：loginctl list-sessions --user=username
• 发送带时间戳的消息：loginctl message --uid=1001 "⚠️ 5 分钟后强制登出"
• 踢出会话（保留用户进程）：loginctl terminate-session session-id
• 彻底终止用户全部会话及进程：loginctl kill-user username

systemctl kill 和 loginctl kill-user 的行为差异

两者都调用 systemd 的 cgroup 杀机制，但作用域不同：systemctl kill 针对 unit（如 user-1001.slice），而 loginctl kill-user 直接按 UID 操作，自动处理所有关联会话和进程树，更干净。

容易被忽略的是信号类型：默认发 SIGTERM，用户进程有机会清理；但很多 shell 会话对 SIGTERM 响应迟钝，导致“看似踢出，实则残留”。这时得加 --signal=SIGKILL。

• 安全踢出（先 SIGTERM，等 5 秒再 SIGKILL）：loginctl kill-user username --kill-who=control --signal=SIGTERM，再补 loginctl kill-user username --signal=SIGKILL
• 查看用户资源占用：systemctl status user-1001.slice，确认是否还有顽固进程卡在 Stopping 状态
• 若用户用 tmux 或 screen，kill-user 默认不进会话内部，需提前用 tmux kill-session -t session-name 清理

Web 终端或 SSH 代理场景下消息送达失败的排查点

通过 write 或 loginctl message 发送的消息，在 Web SSH（如 GateOne、Shellinabox）、跳板机或堡垒机后面经常收不到——不是命令错了，而是终端复用或伪 tty 隔离导致消息通道不通。

这时候不能依赖系统级通知，得换路径：要么改用应用层推送（如给用户邮箱发信），要么在 SSH 层做手脚。最务实的办法是提前在 /etc/motd 或用户 ~/.bashrc 里加检查逻辑，定期拉取维护公告。

• 确认目标终端是否为真实 tty：ls -l /proc/$(pgrep -u username bash)/fd/0，若指向 /dev/pts/N 则 write 可用；若指向 socket 或 pipe，则不可用
• Web 终端通常禁用 mesg，可用 echo "MSG: ..." > /dev/tty 尝试（需 root 权限且目标用户有 tty 写权限）
• SSH 强制执行命令时插入提醒：ssh user@host 'echo "维护开始" >&2; sleep 3; pkill -u $USER'

实际操作中，最易被忽略的是用户是否启用了 mesg n（禁止接收消息）以及 systemd 的 logind.conf 中 NAutoVTs= 和 ReserveVT= 设置——它们会影响 loginctl message 的投递路径。不查这些，光换命令没用。