设置服务器访问用户密码是保障数据安全的第一道防线，其核心在于构建多层防御体系，涵盖操作系统账户管理、远程连接协议加密以及应用层权限控制，单纯设置一个简单的口令已无法抵御现代网络攻击，必须结合强密码策略、密钥认证以及访问控制列表（ACL）来实施，无论是Linux还是Windows环境,安全配置的本质都是最小权限原则与高强度加密的结合。
Linux操作系统用户密码管理
在Linux服务器中，用户密码管理主要通过命令行工具实现,其安全性依赖于Shadow文件的保护及密码复杂度策略。
基础密码设置与修改
最常用的命令是passwd，对于root用户，可以直接重置任何用户的密码，例如输入passwd username后系统会提示输入新密码，为了确保安全，输入的密码不会在屏幕上显示，对于普通用户，只能修改自己的密码，在设置密码时，必须避免使用字典词汇或简单的数字组合，建议使用包含大小写字母、数字及特殊符号的字符串,且长度不少于12位。
密码老化与策略控制
为了防止密码长期不变导致泄露，管理员应利用chage命令管理密码有效期。chage -M 90 username可强制用户每90天修改一次密码，更深层的策略配置位于/etc/login.defs文件中，这里可以定义密码最大天数、最小天数以及过期警告天数，结合PAM（Pluggable Authentication Modules）模块中的pam_pwquality.so，系统可以自动强制执行密码复杂度检查,拒绝不符合强度要求的密码。
禁用危险登录方式
在设置好用户密码后，必须限制直接使用root账户远程登录，编辑/etc/ssh/sshd_config文件，将PermitRootLogin设置为no，迫使攻击者必须先破解普通用户密码，再通过提权获取root权限,这大大增加了攻击难度。
Windows服务器账户安全策略
Windows服务器主要通过本地安全策略或组策略来管理用户密码,其图形化界面提供了更为细致的配置选项。
账户策略配置
在“本地安全策略”管理工具中，导航至“账户策略”下的“密码策略”，这里可以设置密码必须符合复杂性要求，即密码中必须包含来自以下四类字符中的三类：大写字母、小写字母、数字和特殊符号，应设置“密码最长使用期限”，建议不超过60天，并启用“强制密码历史”,防止用户通过循环使用旧密码来规避更新。
账户锁定策略
为了防止暴力破解，必须在“账户锁定策略”中设置阈值，设定“账户锁定阈值”为5次无效登录，“账户锁定时间”为30分钟，这意味着攻击者只有5次猜测机会，一旦失败，IP或账户将被暂时冻结,从而有效阻断自动化脚本的字典攻击。
远程桌面权限管理
对于通过远程桌面（RDP）访问的用户，应避免将其直接加入Administrators组，建议创建专门的“远程管理组”，仅赋予该组远程登录权限，修改RDP默认的3389端口，并配置网络级别身份验证（NLA），在建立完整会话前即验证用户身份,降低服务器资源被恶意消耗的风险。
远程连接协议的加密加固
设置好系统密码后，传输通道的安全性同样至关重要，如果密码在传输过程中被窃听,再复杂的口令也形同虚设。
SSH密钥认证替代密码
对于Linux服务器，最高级别的安全实践是完全禁用密码登录，转而使用SSH密钥对，使用ssh-keygen生成公钥和私钥，将公钥部署到服务器的~/.ssh/authorized_keys中，私钥保存在本地，私钥本身可以设置高强度的 passphrase（口令），实现“双因子认证”，在sshd_config中设置PasswordAuthentication no，强制所有连接必须持有私钥,这几乎杜绝了基于密码的暴力破解。
SSH配置文件优化
除了密钥认证，还应限制允许登录的用户，在sshd_config中使用AllowUsers指令，明确指定只有哪些用户名可以通过SSH连接，例如AllowUsers admin@192.168.1.100，甚至可以限制来源IP地址,构建物理网络层面的访问边界。
Web服务器访问控制
除了系统层面的用户，Web服务器（如Nginx、Apache）往往需要对特定目录或管理后台设置访问密码。
Nginx基础认证
使用htpasswd工具生成一个包含用户名和加密密码的文件（例如.htpasswd），在Nginx配置文件的目标location块中，添加auth_basic和auth_basic_user_file指令，这样，当用户访问该URL时，浏览器会弹出认证对话框，只有输入正确的用户名和密码才能查看内容，这种方法非常适合为WordPress后台、phpMyAdmin等敏感路径增加一层额外的保护。
Apache目录保护
Apache服务器同样支持.htaccess文件进行密码保护，通过在目录下创建.htaccess文件并指定AuthUserFile路径，结合.htpasswd密码文件，可以快速实现对特定目录的访问限制，配置完成后，必须确保Web服务进程对这两个文件有读取权限，同时通过.htaccess禁止密码文件本身被直接下载。
高级安全策略与最佳实践
在完成了上述基础设置后,维护服务器安全还需要持续的审计与高级手段的辅助。
多因素认证（MFA）
对于关键服务器，强烈建议实施多因素认证，通过Google Authenticator等工具，结合PAM模块，要求用户在输入静态密码后，再提供手机上动态生成的验证码，即使静态密码泄露,没有手机验证码攻击者依然无法登录。
定期审计与日志监控
定期检查/var/log/secure（Linux）或“安全日志”（Windows），关注异常的登录尝试，使用工具如Fail2ban（Linux）或第三方安全软件，自动分析日志并将频繁尝试登录的IP地址加入防火墙黑名单,这种动态防御机制能极大提升服务器的主动防御能力。
权限分离原则
遵循最小权限原则，不同的服务运行在不同的独立用户下，不要让所有服务都共享root或管理员权限，Web服务使用www-data用户，数据库服务使用mysql用户，这样，即使某个服务的密码被破解，攻击者也仅能破坏该服务范围内的数据,无法横向移动至整个服务器。
相关问答
Q1：如果忘记了Linux服务器的root密码，该如何进入系统重置？
A1：可以通过重启服务器进入单用户模式或救援模式来重置，在GRUB启动菜单界面，编辑内核启动参数，在末尾添加rd.break或init=/bin/bash，然后按Ctrl+X启动，进入系统后，重新挂载根目录为可写模式（mount -o remount,rw /sysroot），使用chroot /sysroot切换环境，最后执行passwd root命令修改密码，修改完成后，创建SELinux自动重标记文件（touch /.autorelabel）,退出并重启即可。
Q2：为什么设置了强密码，服务器仍然会被暴力破解入侵？
A2：强密码只能防止被猜中，但无法防止传输过程中的中间人攻击或服务器端存在的漏洞，如果攻击者利用了Web应用的漏洞（如SQL注入、文件上传漏洞），他们可能直接获取系统Shell权限，绕过密码验证，如果SSH端口暴露在公网且未配置防火墙限制，攻击者可能利用SSH协议本身的漏洞或通过撞库（尝试其他网站泄露的账号密码）进行入侵，必须配合更新补丁、配置防火墙、关闭不必要的端口以及使用密钥认证等综合手段。
