清理长期未登录冗余账号核心是“先识别、再冻结、后清理”：须同时满足90天无登录、UID≥1000、shell为nologin/false且shadow密码字段有效三条件；冻结用usermod -s /usr/sbin/nologin并观察日志2天；清理前查进程、挂载、邮件、文件活跃度；归档后userdel -r删除，再手动清sudo、ssh密钥、tmp等残留。

清理长期未登录的冗余用户账号，核心是“先识别、再冻结、后清理”，避免误删系统关键账户或引发服务异常。重点不在删得快，而在判得准、动得稳。

一、精准识别哪些用户真该清

不能只看last或lastlog简单筛选。真正需清理的是同时满足三个条件的账号：

• 90天内无成功登录记录（用lastlog -b 90，不是last）
• UID ≥ 1000（排除root、syslog、sshd等系统账号）
• shell为/sbin/nologin或/bin/false，且/etc/shadow中密码字段不为*或!（说明曾有有效凭证，非纯占位）

快速筛查命令示例：

lastlog -b 90 | awk '$1 !~ /^(root|sync|shutdown|halt|operator|nobody|daemon)/ && $5 != "Never" {print $1}' | while read u; do [ $(id -u "$u" 2>/dev/null) -ge 1000 ] && grep -qE "^$u:.*nologin|false" /etc/passwd && [ "$(awk -F: -v u="$u" '$1==u {print $2}' /etc/shadow)" != "*" ] && echo "$u"; done

二、先冻结，留出观察窗口

锁定比删除更安全。冻结后观察1–2天，确认无服务报错或日志异常：

• 禁止登录：sudo usermod -s /usr/sbin/nologin 用户名（比passwd -l更彻底，防SSH密钥绕过）
• 清空定时任务：sudo crontab -u 用户名 -r
• 停用用户级服务：sudo systemctl --user --machine-id= --scope stop --all 用户名.* 或直接 sudo loginctl terminate-user 用户名

观察日志：journalctl -u systemd-logind -S "2 days ago" | grep 用户名 和 tail -n 50 /var/log/auth.log，确认无认证失败或服务调用痕迹。

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

三、清理前必须做的检查项

冻结无异常后，执行清理前务必逐项确认：

• 查进程：ps -u 用户名 -f 或 pgrep -u 用户名 —— 有则用 pkill -u 用户名 终止
• 查挂载：findmnt -U | grep "/home/用户名" —— 若有，先 sudo umount /home/用户名
• 查邮件路径：ls -l /var/{mail,spool/mail}/用户名 2>/dev/null —— 两个位置都可能存邮件
• 查主目录活跃度：find /home/用户名 -type f -mtime -30 | head -5 确认近期无文件访问

四、分步清理与残留扫除

确认无误后，按顺序操作：

• 归档备份（建议保留至少30天）：sudo tar -czf /backup/用户名_$(date +%Y%m%d).tar.gz /home/用户名 /var/mail/用户名 2>/dev/null
• 删除账号及主目录：sudo userdel -r 用户名
• 手动清理常见残留：
  • sudo rm -f /var/spool/cron/用户名
  • sudo grep -r "用户名\|%用户名" /etc/sudoers* -l | xargs -r sudo sed -i '/用户名\|%用户名/d'
  • sudo find /root/.ssh/authorized_keys /etc/ssh/authorized_keys* -type f -exec sed -i '/用户名/d' {} + 2>/dev/null
  • sudo find /tmp /var/tmp -user 用户名 -delete 2>/dev/null

清理后验证：id 用户名（应提示 no such user）、getent passwd 用户名（无输出）、ls -ld /home/用户名（No such file）。