添加用户前必须确认三件事：是否需要登录（指定-s /bin/bash）、是否需要家目录（加-m）、是否设初始密码（用passwd或chpasswd）；否则易创建无法登录、无家目录、shell为/bin/false的哑巴用户。
添加用户前必须确认的三件事
直接运行 useradd 很可能创建出无法登录、家目录缺失、shell 为 /bin/false 的“哑巴用户”。这不是命令错了，而是没传关键参数。默认行为在不同发行版中也不一致：CentOS 默认不建家目录，Ubuntu 的 adduser（封装脚本）才自动处理，但 useradd 始终是裸命令。
- 是否需要登录？→ 必须指定
-s /bin/bash（或其他有效 shell） - 是否需要家目录？→ 必须加
-m，否则用户主目录不会被创建 - 是否要设初始密码？→
useradd不设密码，必须后续用passwd或chpasswd
正确添加一个可登录用户的完整步骤
假设要加用户 devuser，属于新组 devteam，家目录在 /home/devuser，登录 shell 为 /bin/bash：
groupadd devteam useradd -m -g devteam -s /bin/bash devuser echo 'devuser:MyPass123' | chpasswd
注意：-g 指定主组（primary group），不是附加组；如果想让该用户同时属于多个组（如 sudo 和 docker），得用 -G 参数，例如 -G sudo,docker。另外，chpasswd 接受 用户名:密码 格式输入，比交互式 passwd 更适合脚本化。
groupadd 常见陷阱与权限边界
groupadd 看似简单，但两个细节常被忽略：
- 组名不能以数字开头，也不能含特殊字符（只允许字母、数字、下划线、短横线）；尝试
groupadd 123group会报错groupadd: invalid group name - 普通用户无法执行
groupadd，即使加了sudo，也需确保其在sudoers中有对应权限；更隐蔽的是，某些最小化系统（如 Alpine）默认不带shadow工具集，groupadd可能根本不存在，得先装shadow包 - 组 ID（GID）冲突时，
groupadd默认从 1000 起分配；若需指定 GID，用-g 2000，但必须确保该 GID 未被占用，否则失败
验证用户和组是否真正生效
别只看 /etc/passwd 和 /etc/group 文件里有没有记录——那只是静态配置。真正要确认的是运行时状态：
- 查用户归属：
id devuser→ 应显示 uid、gid、groups 全部信息 - 查家目录权限：
ls -ld /home/devuser→ 所有者必须是devuser，且权限通常为700 - 切到该用户测试：
su - devuser -c 'echo $HOME'→ 成功返回/home/devuser才算 shell 和家目录都正常 - 如果用户仍无法 SSH 登录，检查
/var/log/auth.log或/var/log/secure，常见原因是/etc/shadow中密码字段为空或为*（表示锁定）
最易被跳过的环节是 SELinux 或 AppArmor 上下文——在启用强制访问控制的系统上，新建家目录可能缺少正确标签，导致用户登录后无法读写自己的文件，此时需运行 restorecon -Rv /home/devuser。
