在Linux系统中，密码管理是系统安全的重要环节，通过脚本实现密码修改可以大幅提升批量管理效率，本文将详细介绍使用脚本修改Linux用户密码的方法、注意事项及最佳实践,帮助管理员实现安全高效的密码管理操作。
Linux密码修改基础命令
在编写脚本之前，需先了解Linux环境下手动修改密码的基本命令。passwd命令是修改用户密码的核心工具，普通用户使用时需输入当前密码验证，而root用户可直接修改任意用户密码，root用户执行passwd username后，系统会提示输入两次新密码完成修改，这一交互过程是脚本化改造的关键,需要通过非交互方式实现自动化处理。
使用expect工具实现非交互式密码修改
对于传统passwd命令的交互特性，可通过expect工具解决安装，expect工具基于Tcl语言开发，能模拟用户输入完成自动化交互，在Debian/Ubuntu系统中使用apt install expect安装，RHEL/CentOS系统则通过yum install expect获取,以下是一个基础示例脚本：
#!/usr/bin/expect set username [lindex $argv 0] set newpass [lindex $argv 1] spawn passwd $username expect "New password:" send "$newpass\r" expect "Retype new password:" send "$newpass\r" expect eof
使用时需赋予执行权限chmod +x pass.sh，并通过./pass.sh username newpassword调用，该脚本通过捕获密码提示信息并自动发送新密码,实现了非交互式修改。
使用chpasswd命令批量修改密码
现代Linux系统提供了更简洁的chpasswd命令，可直接通过”用户名:密码”格式批量处理密码修改，使用时需root权限，例如创建密码文件passwords.txt格式为：
user1:Passw0rd1
user2:Passw0rd2执行chpasswd < passwords.txt即可批量生效，为增强安全性，建议使用openssl生成加密密码，例如openssl passwd -1 -salt salt newpass生成加密后的字符串,再写入密码文件。
结合用户管理的高级脚本
在实际运维中，密码修改常与用户创建、组管理结合,以下示例脚本实现了创建用户并设置密码的功能：
#!/bin/bash
users=("user1" "user2" "user3")
passwords=("Pass1!" "Pass2@" "Pass3#")
for i in "${!users[@]}"; do
useradd -m -s /bin/bash "${users[$i]}" 2>/dev/null || echo "用户${users[$i]}已存在"
echo "${users[$i]}:${passwords[$i]}" | chpasswd
chage -d 0 "${users[$i]}" # 强制首次登录修改密码
done
该脚本使用数组存储用户名和密码，通过循环批量处理，并利用chage命令设置密码策略,增强安全性。
安全注意事项
-
密码存储安全：脚本中避免明文存储密码，可使用环境变量或加密配置文件，例如通过
read -s命令安全输入密码：read -s "请输入新密码: " newpass
-
权限控制：确保脚本仅允许root用户执行,在脚本开头添加：
if [ "$(id -u)" -ne 0 ]; then echo "请使用root权限运行" >&2 exit 1 fi -
日志记录：建议记录密码修改操作，
echo "$(date): 修改用户 $username 密码" >> /var/log/passwd_change.log
自动化运维集成
在Ansible、SaltStack等自动化运维工具中，密码修改可通过模块实现更高效的管理，例如Ansible的user模块可直接设置加密密码：
- name: 设置用户密码
user:
name: testuser
password: "{{ 'newpass' | password_hash('sha512') }}"
这种方式避免了脚本安全问题,更适合企业级环境。
密码策略强化
为提升系统安全性，脚本应结合密码策略工具如libpwquality,在修改密码前进行强度检查：
if ! echo "$newpass" | pwqualitycheck; then
echo "密码不符合安全策略" >&2
exit 1
fi
通过合理配置/etc/security/pwquality.conf文件，可设置密码最小长度、复杂度等要求。
故障排查与维护
当密码修改失败时，需检查常见问题：用户是否存在、密码是否符合策略、磁盘空间是否充足等，可通过tail /var/log/secure查看详细错误信息，建议定期审计密码修改记录,确保无异常操作。
Linux环境下通过脚本修改密码需平衡安全性与便利性，对于单机环境，expect和chpasswd是实用工具；在自动化运维体系中，应优先选择专业管理工具，无论采用何种方式，都必须遵循最小权限原则，并建立完善的审计机制，确保密码管理既高效又安全，随着系统规模扩大，建议结合LDAP、Kerberos等集中认证方案,实现更统一的密码管理策略。
