linux系统可通过pam机制在密码修改成功后自动踢出用户所有会话：在/etc/pam.d/common-password或system-auth中添加pam_exec.so调用脚本，脚本内执行loginctl terminate-user "$1"，配合killuserprocesses=yes增强安全性。

Linux系统本身不提供“密码修改即自动踢出所有会话”的开箱即用功能，但可通过PAM（Pluggable Authentication Modules）机制，在用户成功修改密码的**认证完成阶段**触发会话清理动作，实现近实时终止。关键在于利用pam_exec.so模块调用自定义脚本，结合loginctl完成用户级会话终结。

核心原理：在密码更新成功后立即执行会话清理

密码修改操作（如passwd命令）最终由pam_pwquality.so和pam_unix.so等模块处理。我们需在password [success=ok] pam_exec.so位置插入钩子——仅当密码更新真正成功时才运行清理脚本，避免误杀或重复执行。

该方案不依赖定时扫描，响应快（通常在1秒内），且只影响目标用户，不影响其他登录者。

配置步骤：修改PAM策略并编写清理脚本

以下操作需以root身份执行：

Linux Ai Server

Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。

下载

• 编辑/etc/pam.d/common-password（Debian/Ubuntu）或/etc/pam.d/system-auth（RHEL/CentOS/Fedora），在password [default=ok] pam_unix.so这一行之后添加：

password [success=ok default=ignore] pam_exec.so quiet /usr/local/bin/kill-user-sessions.sh

• 创建清理脚本/usr/local/bin/kill-user-sessions.sh，内容如下：

#!/bin/bash
# $1 是当前操作的用户名（PAM自动传入）
if [ -n "$1" ] && [ "$1" != "root" ]; then
  loginctl terminate-user "$1" 2>/dev/null
  # 可选：记录日志
  logger -t "pam-session-kill" "Terminated all sessions for user $1 after password change"
fi

• 赋予可执行权限：chmod +x /usr/local/bin/kill-user-sessions.sh
• 验证脚本能否手动运行：sudo /usr/local/bin/kill-user-sessions.sh testuser，确认其能终止该用户所有会话（可用loginctl list-users和loginctl list-sessions检查）

注意事项与兼容性说明

该机制对以下场景有效：

• 本地TTY登录（Ctrl+Alt+F2等）
• SSH登录（包括密钥和密码方式）
• 图形界面会话（GNOME/KDE等基于systemd的桌面）
• 通过su -或sudo -i切换的会话（只要原会话归属该用户）

不生效的情况包括：

• 非systemd系统（如使用SysV init的老版本CentOS 6）——loginctl不可用，需改用pkill -u username等替代方案
• 容器内或chroot环境中的会话，可能不受host级loginctl管理
• 用户正运行tmux或screen且未启用killuserprocesses=yes（需检查/etc/systemd/logind.conf中该选项）

安全增强建议

为防止脚本被绕过或滥用，推荐补充以下两项：

• 在/etc/systemd/logind.conf中设置：
  KillUserProcesses=yes
IdleAction=lock
  重启服务：systemctl restart systemd-logind
• 限制脚本权限：chown root:root /usr/local/bin/kill-user-sessions.sh && chmod 700 /usr/local/bin/kill-user-sessions.sh
• 如需审计，可在脚本中加入auditctl -a always,exit -F path=/usr/bin/passwd -F perm=x（需安装auditd）