核心是禁止用户sudo执行passwd命令：在/etc/sudoers中用visudo配置权限列表时显式排除!/usr/bin/passwd（及可能的/bin/passwd），禁用all宽泛授权，并用chattr +i锁定sudoers等关键文件防篡改。

要防止普通用户通过 sudo 修改自己的密码，核心思路是：**不给用户授权执行 passwd 命令，同时明确禁止该命令出现在其 sudo 权限列表中**。因为 sudo passwd username 是普通用户绕过自身密码限制、篡改账户凭证的常见方式。

明确禁止 passwd 命令

在 /etc/sudoers 中为用户或用户组配置权限时，必须显式排除 passwd。使用 visudo 编辑（严禁直接用 vi/vim）：

• 若用户属于 %admin 组，将默认的 %admin ALL=(ALL) ALL 改为：

`%admin ALL=/usr/sbin/,/sbin/,/usr/bin/,!/usr/bin/passwd,!/usr/sbin/visudo,!/usr/sbin/useradd,!/usr/sbin/userdel`

• 其中 !/usr/bin/passwd 表示“禁止执行该路径下的 passwd 命令”；
• 注意：passwd 通常位于 /usr/bin/passwd（主流发行版），极少数系统可能在 /bin/passwd，需确认后一并禁止；
• 单独一行写 username ALL=(ALL) !/usr/bin/passwd 不生效，必须放在权限列表中与其他命令一起声明。

避免授予 ALL 权限

切勿使用 username ALL=(ALL) ALL 或 username ALL=(ALL) NOPASSWD:ALL 这类宽泛授权。这类配置等同于开放 root 权限，用户可直接运行 sudo passwd $USER 或 sudo passwd root，完全失去控制。

• 应坚持最小权限原则：只列明业务必需的命令，例如 /usr/bin/systemctl、/usr/bin/journalctl；
• 若需批量管理，建议定义 Cmnd_Alias，再引用，提升可读性与可维护性；
• 所有命令路径务必写绝对路径，防止被恶意软链接或 PATH 劫持绕过。

锁定 sudoers 配置文件防篡改

即使配置了禁止规则，用户若能修改 /etc/sudoers 文件本身，就能自行解除限制。因此需加固配置文件：

• 执行 chattr +i /etc/sudoers，设置不可修改属性（需 root 权限）；
• 同样处理关键关联文件：/etc/sudoers.d/ 目录、/etc/sudo.conf；
• 注意：加锁后任何修改（包括 visudo）都会失败，需先 chattr -i 解锁，操作完再加回。

验证与测试

配置完成后，务必切换到目标用户实测：

• 运行 sudo -l 查看当前用户被允许/禁止的命令列表，确认 passwd 不在其中；
• 尝试执行 sudo passwd $USER，应返回类似 Sorry, user xxx is not allowed to execute '/usr/bin/passwd xxx' as root 的拒绝提示；
• 检查日志：sudo grep 'passwd' /var/log/auth.log，确认无成功执行记录。