银河麒麟系统中禁用账户需多层锁定：先用passwd -l锁密码、usermod -s /sbin/nologin禁shell；再通过faillog触发PAM锁定；最后禁自动登录、删SSH密钥、封TTY。
如果您在银河麒麟操作系统中已禁用某个用户账户（例如通过设置密码过期、锁定密码或修改shell），但发现该账户仍能登录或执行部分操作，则需确认其是否真正处于“被锁定”状态，并采取针对性措施彻底阻断所有登录路径。账户被禁用不等于被锁定，禁用可能仅影响密码认证，而SSH密钥、空密码、控制台直连等路径仍可能绕过。
确认账户当前禁用状态并补全锁定动作
先验证账户是否真的无法通过标准方式登录，再决定是否需要追加锁定手段。
执行命令查看目标用户 account_status 和密码状态：【sudo chage -l username】。重点检查“Password expires”是否为“never”但“Account expires”已过期，“Password locked”是否显示“true”，以及“Last password change”是否为“password must be changed”。
若输出中显示“Account expires”为一个过去日期（如2026-08-15），说明账户已自然失效，无需额外锁定；若仅显示“Password locked: true”，则密码被锁但账户本身仍有效，此时仍可通过SSH密钥、su切换等方式间接访问。
这一步必须做——仅靠passwd -l或chage -E不能覆盖所有认证通道，必须结合PAM faillock或shell替换才能实现真正锁定。
使用passwd命令立即锁定密码并禁用交互式Shell
这是最直接、兼容性最强的双保险方式，适用于所有麒麟版本（V4/V10），且对本地终端、SSH、图形登录全部生效。
第一步：锁定用户密码，使其无法通过密码认证：【sudo passwd -l username】。该命令会在/etc/shadow中用户密码字段前添加“!”前缀，任何密码输入均立即失败。
第二步：禁止该用户获得任何交互式Shell环境：【sudo usermod -s /sbin/nologin username】。此操作将覆盖原shell（如/bin/bash），使系统在登录流程中直接拒绝会话分配，返回“This account is currently not available”提示。
注意：/sbin/nologin不是/bin/false，它会向用户显示友好提示而非静默退出，便于运维识别异常账户；且不会影响sudo权限继承或systemd服务运行。
通过PAM faillock模块强制触发账户锁定状态
当账户已被多次输错密码触发faillock机制时，其锁定状态会写入/var/run/faillock/目录下的独立文件，该状态独立于shadow字段，可被图形登录、SSH、su等所有PAM路径统一识别。
方法一：手动创建faillock锁定记录（适用于账户尚未触发失败但需预置锁定）
执行命令生成锁定标记：【sudo faillog -u username -m 0】。该命令将最大失败次数设为0，导致任何一次认证尝试都立即返回“Account locked due to 0 failed logins”。
方法二：重置并锁定账户失败计数
先清空当前失败记录：【sudo faillog -u username -r】；
再立即锁定：【sudo faillog -u username -l 1】（-l 1表示锁定1次即生效）。
验证是否生效：切换至该用户环境执行login或ssh localhost -l username，应直接报错并中断连接，不进入密码提示阶段。
彻底关闭图形与远程登录入口
仅靠系统级锁定仍可能被图形界面自动登录、SSH公钥、TTY本地直连绕过，必须同步关闭这些通道。
禁用图形自动登录：编辑/etc/lightdm/lightdm.conf，在[Seat:*]段落下添加或修改【autologin-user=】为空值，并确保【autologin-user-timeout=0】未启用。
禁止SSH密钥登录：删除该用户家目录下~/.ssh/authorized_keys文件，或执行【sudo rm -f /home/username/.ssh/authorized_keys】（注意保留目录权限）。
封锁本地TTY登录：编辑/etc/ttys，将tty1–tty6对应行末尾的“on”改为“off”，或在/etc/security/access.conf中添加：【- : username : ALL】，保存后重启系统服务。
