用paramiko批量改密码须先确认目标主机支持ssh密码修改，因默认不分配pty导致passwd卡住；应使用invoke_shell()模拟终端交互，逐行发送密码并处理提示符、错误和特殊字符，同时记录详细执行日志以排查问题。
用 paramiko 批量改密码前，先确认目标主机是否支持 SSH 密码修改
大多数 Linux 主机默认不允许直接通过 SSH 会话执行 passwd 命令来非交互式改密——因为 passwd 会读取终端（tty）并要求输入旧密码、新密码两次，而 paramiko 的 exec_command() 默认不分配伪终端（pty），直接运行会卡住或报错 passwd: Authentication token manipulation error。
解决办法只有两个：
- 在目标主机上启用
sudo passwd $USER免密（需提前配置/etc/sudoers，且风险高，不推荐） - 改用
ssh+expect脚本（本地需装expect，跨平台差） - 更稳妥的做法：用
paramiko开启 pty 并手动模拟交互流，逐行发送密码（见下一点）
用 paramiko 的 invoke_shell() 模拟真实终端交互
exec_command() 适合执行无交互命令；改密码必须用 invoke_shell() 获取交互式 shell，再用 send() 和 recv() 控制流程。关键点是等待提示符、识别错误输出、控制换行和延时。
典型交互序列（以修改当前用户密码为例）：
stdin.send('passwd\n')
stdin.send('old_password\n')
stdin.send('new_password\n')
stdin.send('new_password\n')
但实际中要处理：
- 不同系统提示符不同（
$、#、[user@host ~]$），建议用正则匹配r'[\$#] $' - 部分主机首次登录会提示
The authenticity of host ... can't be verified，需提前用ssh-keyscan或设置AutoAddPolicy - 密码含特殊字符（如
$、\n）要转义或用 raw 字符串 - 每次
send()后必须recv()等待响应，不能连续发——否则命令会乱序或丢弃
生成报表时别只写成功/失败，得记录真实执行上下文
单纯记 "192.168.1.10: success" 没用。出问题时你根本不知道是连不上、权限不足、还是密码策略拒绝了新密码。
建议每台主机至少记录以下字段到 CSV 或 JSON：
-
host、port、username -
status（connected/auth_failed/passwd_failed/timeout） -
error_message（截取最后 200 字节的stderr或交互日志） -
start_time、end_time（用于排查慢主机） -
new_password_hash（可选，SHA256(主机名+时间戳+salt)，避免明文落盘）
注意：open('report.csv', 'a') 多线程写入会乱序，必须加锁或用单线程顺序执行——批量改密本身就不适合并发过高，10 台以内建议串行，避免触发目标主机的 SSH 登录限速（如 MaxStartups）。
真正落地前，先用一台机器做「最小闭环验证」
别一上来就跑 50 台。先拿一台测试机，手动执行一遍你要自动化的完整路径：
- SSH 连上去，手工跑
passwd，看提示怎么问、输几次、回显什么 - 用 Python +
paramiko连同一台，只做invoke_shell()+send('whoami\n')，确认基础连接和 recv 逻辑通 - 再加入
passwd流程，打印每一行recv()结果，观察哪一步卡住 - 最后加上报表写入，验证字段是否齐全、编码是否正常（尤其中文主机名或错误信息）
很多失败不是代码问题，而是目标主机的 PAM 配置、SELinux 策略、或者密码复杂度规则（比如要求包含大小写字母+数字+符号）没被脚本感知——这些只能靠真实交互日志暴露。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
