在Linux操作系统中，用户管理是保障系统安全与权限控制的核心环节，要实现高效的用户管理，首先必须掌握如何精准地查看系统中的用户信息。查看Linux用户的核心在于理解系统存储用户数据的机制以及熟练运用相关的查询命令，Linux系统主要通过/etc/passwd文件存储用户基本信息，通过/etc/shadow存储密码信息，并提供了一系列如who、w、id等命令来实时获取用户状态，掌握这些工具，不仅能查看当前登录用户，还能深度挖掘系统内所有用户的属性,从而为系统运维和安全审计提供强有力的数据支持。
实时查看当前登录用户
在系统运维过程中，管理员往往第一时间需要确认当前有哪些用户正在访问系统，以及他们在执行什么操作,Linux提供了三个基础但功能强大的命令来满足这一需求。
whoami命令是最为简洁的工具，用于显示当前有效用户的名称，它直接读取/etc/passwd文件中的用户条目，输出当前登录终端的登录名，对于快速确认当前操作身份非常有用，特别是在频繁使用sudo切换用户后，whoami能迅速消除身份混淆。
who命令则提供了更为详细的当前登录会话信息，它不仅显示登录用户名，还包括登录终端（TTY）、登录时间以及远程主机的IP地址或主机名，通过who -b参数，还可以查看系统最后一次启动的时间，这对于判断系统运行时长和排查异常重启至关重要。who命令的数据源主要是/var/run/utmp文件,它记录了当前登录的每个用户信息。
w命令是查看当前用户活动的“瑞士军刀”，它是who命令的增强版，除了提供who所拥有的基本信息外，w命令最核心的优势在于展示了用户当前正在执行的进程以及系统资源负载情况，输出结果中的IDLE字段显示了用户空闲时间，JCPU和PCPU分别显示了该用户占用的总CPU时间和当前进程占用的CPU时间，而WHAT字段则直接打印出用户当前正在执行的命令行,这对于判断用户是否在进行高耗能操作或异常行为具有极高的参考价值。
静态查看系统所有用户
除了实时登录的用户，系统管理员更需要掌握系统中存在的所有用户账户，包括系统服务账户和人类用户账户,这需要直接读取系统的用户数据库。
/etc/passwd文件是Linux用户信息的黄金数据源，使用cat /etc/passwd可以查看所有用户列表，每一行代表一个用户，并由冒号（:）分隔为七个字段：注册名、口令（x表示加密存储在shadow）、用户UID（User ID）、组GID（Group ID）、注释信息（如全名）、主目录和登录Shell。
为了更专业地提取用户名，通常结合cut命令使用，例如cat /etc/passwd | cut -d: -f1，这将只输出第一列的用户名，使界面更加清爽，使用getent passwd命令具有相同的效果，且兼容性更好，它从Name Service Switch（NSS）配置中获取信息，不仅限于本地文件,还能查询LDAP或NIS等网络用户数据库。
深度解析用户属性与组信息
仅仅知道用户名是不够的，在权限排查和故障诊断中，往往需要确认用户的UID、GID以及所属的附属组。
id命令是查询用户身份信息的首选工具，如果不带参数，它显示当前用户的UID、GID以及所属的所有组，带上用户名作为参数（如id root），则可以查看指定用户的详细信息，输出中的uid、gid和groups清晰地标示了用户的数字ID和组归属关系。理解UID和GID比单纯记忆用户名更重要，因为Linux内核实际上是通过数字ID来识别进程权限的,而非用户名。
groups命令则专注于显示用户所属的组，它比id命令的输出更为精简，直接列出组名，在配置文件共享权限（如设置SGID位）或验证sudo权限时,快速确认用户组归属是必不可少的步骤。
登录历史审计与安全追踪
为了满足合规性和安全审计的需求,管理员必须能够追溯用户的登录历史。
last命令用于读取/var/log/wtmp文件，显示系统自创建以来的用户登录历史记录，输出内容包括用户名、终端、来源IP、登录时间以及退出时间，如果是“still logged in”则表示该用户当前仍在线，通过last -n 10可以限制显示最近的10条记录，而last -b则可以查看上次系统重启的时间,这对于排查系统是否被非法重启非常有帮助。
lastlog命令则侧重于报告所有用户最近一次登录的时间，它读取/var/log/lastlog文件，格式化输出每个用户的最近登录记录，对于从未登录过的用户，它会显示“Never logged in”，在安全审计中，如果发现一个长期未使用的系统账户突然有了登录记录，或者一个普通用户在非工作时间登录,这往往是安全预警的信号。
专家级解决方案：精准筛选有效用户
在实际的生产环境运维中，直接查看/etc/passwd会包含大量的系统内置服务账户（如bin、daemon、mail等），这些账户通常无法用于交互式登录。如何快速筛选出“真实”的可登录用户，是区分新手与专家的关键点。
一个专业的解决方案是利用Shell登录特性进行过滤，系统用户的登录Shell通常被设置为/sbin/nologin或/bin/false，而真实用户则使用/bin/bash或/bin/zsh,可以使用以下命令组合来精准列出所有可以登录系统的普通用户：
cat /etc/passwd | grep -v "/sbin/nologin" | grep -v "/bin/false" | cut -d: -f1
更进一步，为了符合E-E-A-T原则中的专业体验，建议使用awk进行更严谨的字段匹配,避免误判路径中包含关键词的情况：
awk -F: '$7 !~ /(nologin|false)$/ {print $1}' /etc/passwd
这条命令的含义是：以冒号作为分隔符，判断第7个字段（登录Shell）是否不以nologin或false如果不匹配，则打印第1个字段（用户名）。这种基于字段的逻辑判断，比简单的文本模糊搜索更加准确和安全,是构建自动化监控脚本时的最佳实践。
检查账户状态也是专业运维的重要一环，使用passwd -S username可以查看账户密码状态（如是否锁定、密码过期时间等），结合chage命令,管理员可以全面掌控账户的生命周期管理。
相关问答
Q1：在Linux中，UID为0的用户是否一定就是root用户？
A1： 不一定，虽然默认情况下root用户的UID为0，且Linux内核通过UID 0识别超级用户权限，但理论上可以在/etc/passwd中创建其他UID为0的用户，这是一种极度危险且不符合安全规范的操作，在安全审计中，应当确保系统中UID为0的账户只有root一个，如果发现其他UID为0的账户,通常意味着系统已被入侵或存在严重的安全配置错误。
Q2：为什么使用w命令查看用户IP时，有时显示为0.0或tmux？
A2： 这表示用户的登录来源并非远程网络。0.0通常代表本地图形界面的显示服务器（X Window System），即用户是直接在机房或通过本地显示器登录的，而显示为tmux或pts/0等字样，则说明用户是通过终端复用工具（如tmux、screen）或伪终端在本地会话中切换操作的，并非来自外部TCP/IP连接。
互动
如果您在管理多用户Linux服务器时有独特的脚本技巧，或者对上述命令有更高效的用法，欢迎在评论区分享您的经验,让我们一起探讨更深入的运维之道。
