最直接有效禁用违规账号登录的方式是用 usermod -s /sbin/nologin 修改其 shell，而非仅锁密码；该操作使认证通过后立即退出，并可配合 /etc/nologin.txt 提示信息增强可追溯性。
要让特定违规账号暂时无法登录系统，usermod 最直接有效的做法不是单独“锁定密码”，而是改掉它的登录 shell。因为只锁密码（如 usermod -L）挡不住 SSH 密钥、su 切换或服务进程残留访问，实际风险未被真正切断。
推荐方式：用 usermod -s /sbin/nologin 彻底阻断交互式登录
这条命令修改 /etc/passwd 中该用户的 shell 字段，使其认证通过后立即退出，并可配合提示信息增强可追溯性：
- 执行：
sudo usermod -s /sbin/nologin username - 验证是否生效：
getent passwd username | cut -d: -f7应输出/sbin/nologin - （可选）添加提示：
echo "Account suspended due to policy violation" | sudo tee /etc/nologin.txt，用户登录时会看到该消息
若仅需临时禁用密码登录（适用场景有限）
仅当确认该用户从未配置 SSH 密钥、不属特权组、无长期服务进程时，才考虑用 usermod -L：
- 执行：
sudo usermod -L username - 检查状态：
sudo passwd -S username，输出含LK表示已锁 - 注意：该操作对密钥登录、
sudo su - username等完全无效，不能作为安全兜底手段
配套动作不可省略
单改 shell 或锁密码只是第一步，违规账号还需同步清理潜在入口：
- 删其 SSH 公钥：
sudo rm -f /home/username/.ssh/authorized_keys - 移出敏感组（如
wheel、sudo）：sudo gpasswd -d username sudo - 终止当前会话：
loginctl terminate-user username或pkill -u username - 停用定时任务：
sudo -u username crontab -e不可行，改用sudo systemctl stop cron后手动清理/var/spool/cron/username
恢复登录的正确操作
解除限制必须还原 shell 并确认权限闭环：
- 还原 shell：
sudo usermod -s /bin/bash username（或查原 shell：getent passwd username | cut -d: -f7） - 若之前用了
usermod -L，还需解锁密码：sudo usermod -U username - 恢复组权限、重置密钥等按需补全，避免权限残留
