linux tty超时锁定与重登录身份核验需systemd-logind与pam协同：设idleaction=lock和idleactionsec=900实现15分钟空闲冻结，返回必须输入用户名密码；/etc/pam.d/login须配置pam_faillock.so并禁用pam_permit.so等绕过规则。
要防止终端在无人操作时被他人越权接管，关键在于建立“空闲即锁定+返回必认证”的闭环机制。这不是简单设个屏保时间，而是让系统在检测到无交互后主动冻结会话，并确保任何唤醒动作都触发完整身份核验。
Linux TTY 控制台自动锁定
适用于物理机、服务器或虚拟终端（Ctrl+Alt+F1～F6），不依赖图形环境：
- 编辑 /etc/systemd/logind.conf，取消注释并设置：
IdleAction=lock（冻结会话，非图形锁屏）
IdleActionSec=900（15分钟空闲后触发，可调为300或600）
StopIdleSession=true（可选，超时后直接终止会话，更彻底） - 执行 sudo systemctl restart systemd-logind 生效
- 验证：切换至TTY登录，静置超时后按键——应清屏并要求重新输入用户名和密码，而非仅输密码
Windows 系统级空闲锁定策略
需同时启用系统策略与登录认证强化，避免绕过：
- 组策略路径：计算机配置 → 管理模板 → 控制面板 → 个性化 → 屏幕保护程序
启用“启用屏幕保护程序”，设“等待”时间为5分钟；勾选“在恢复时显示登录屏幕” - 同步配置电源选项：控制面板 → 电源选项 → 更换电源计划 → 更改高级电源设置
展开“显示 → 关闭显示器”，设为相同时间；展开“睡眠 → 睡眠后”，设为“不睡眠”，防止因休眠跳过登录 - 确认本地安全策略中“交互式登录：不显示最后的用户名”已启用，杜绝信息泄露
远程控制场景下的锁定联动
向日葵等远程工具若未协同系统策略，可能形成安全盲区：
- 在向日葵客户端“设置→安全”中启用：
“被控结束后自动锁定本机”（断连即锁）
“远程控制时锁定本地屏幕”（连接即锁） - 关闭“允许跳过密码验证”类选项，禁用“记住密码”或“快速登录”功能
- 建议叠加系统原生策略：将Windows屏保锁定时间设为比远程软件超时时间更短（例如远程设3分钟，系统设2分钟），确保任一通道超时均触发锁屏
PAM 认证加固（Linux 关键补漏）
仅设 systemd 锁定不够——若登录流程被 PAM 规则绕过，用户可能回车直入：
- 检查 /etc/pam.d/login 是否含有效失败锁定模块：
auth [default=ignore] pam_faillock.so preauth
auth [default=die] pam_faillock.so authfail - 删除或注释掉类似 auth [success=ok default=ignore] pam_permit.so 的宽松规则
- 测试：连续输错两次密码再正确登录，运行 faillock --user $USER，确认计数归零且无绕过痕迹
