faillock 命令可直接查看和解除PAM锁定，无需额外软件；--list显示被锁用户，--user查看详情，--reset清空计数并解锁，--unlock仅解禁不重置计数，生产环境推荐--reset。
直接用 faillock 命令就能查锁定状态并解锁，不用装额外软件，系统自带、操作快、不依赖日志轮询。
查看被锁定的用户账号
运行以下命令列出所有当前被 PAM 锁定的用户：
- faillock --list —— 显示所有失败次数超限、尚未自动解锁的用户
- faillock --user username —— 查指定用户详情，含失败次数、最后失败时间、来源 IP 和是否已锁
- 若输出中出现
FAILURES: 5且UNLOCK_TIME: 900（15分钟）未过期，说明该用户处于锁定状态
手动解锁单个用户
解锁不是“输对密码就行”，必须用 faillock 主动干预。常用组合如下：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- faillock --user username --reset —— 最常用：清空失败计数 + 解除锁定，用户可立即重试登录
- faillock --user username --unlock —— 仅解除锁定（不重置计数），适合计数仍存在但需临时放行
- 注意：
--reset和--unlock效果不同，生产环境推荐优先用--reset
批量或紧急场景处理
遇到多个用户被锁或需快速恢复，可按需操作：
- faillock --reset —— 清空所有用户的失败记录（慎用！仅限测试环境或灾备恢复）
- 若 root 被锁，先确认是否启用
silent参数豁免；否则用其他管理员账号执行faillock --user root --reset - 配合日志验证：查
/var/log/secure或/var/log/auth.log中authentication failure记录，确认解锁后是否还有新失败条目
补充：区分 PAM 锁定和其他禁用方式
不是所有“登不上”都是 faillock 锁的，先用下面命令快速判断类型：
-
passwd -S username —— 输出第二列为
LK表示被passwd -l手动锁；为PS但登录失败，则大概率是 PAM 自动锁定 - 若为
LK：用passwd -u username解锁 - 若 shell 被设为
/sbin/nologin：用usermod -s /bin/bash username恢复
