在Linux系统中,限制用户登录是一项常见的安全管理需求，可通过多种方式实现，以满足不同场景下的访问控制要求，以下是几种主流的方法及其操作要点，帮助管理员灵活配置用户登录权限。
通过/etc/passwd文件禁用用户
/etc/passwd文件是Linux系统中用户账户的核心配置文件，通过修改该文件可快速禁用用户登录，具体操作为：使用文本编辑器（如vim）打开/etc/passwd文件，找到目标用户对应的行，将登录shell改为/sbin/nologin或/bin/false，将用户test的登录字段从/bin/bash改为/sbin/nologin，修改后保存文件，该用户无法通过SSH、控制台等方式登录系统，但其他服务（如FTP、SFTP）可能仍可使用，需结合其他配置进一步限制，需注意，/sbin/nologin会提示用户“此账户当前不可登录”，而/bin/false则直接返回错误，可根据需求选择。
利用/etc/shadow文件设置密码过期
/etc/shadow文件存储了用户的加密密码及密码策略信息，通过设置密码过期时间可有效限制用户登录，使用chage命令可快速配置，chage -M 30 test表示用户密码30天后过期；chage -d 0 test强制用户下次登录时必须修改密码（若未修改则无法登录）；chage -E 2023-12-31 test设置账户在指定日期后失效，直接编辑/etc/shadow文件，将目标用户密码字段的第三个字段（密码过期天数）设为0，也可立即禁用登录，此方法适用于临时性权限控制，且不影响用户的其他权限配置。
使用PAM模块实现精细化登录控制
可插拔认证模块（PAM）为Linux提供了灵活的认证机制，通过配置PAM规则可实现更复杂的登录限制，限制特定IP地址的用户登录：在/etc/pam.d/sshd文件中添加规则auth required pam_listfile.so item=user sense=deny file=/etc/ssh/denyusers onerr=succeed，并创建/etc/ssh/denyusers文件，将禁止登录的用户名逐行写入，再如，限制登录时间：使用pam_time.so模块，在/etc/security/time.conf中配置规则，如*;*;test;!Wk09:00-18:00表示用户test仅允许在工作日9:00-18:00登录，PAM模块的配置需结合具体服务（如SSH、系统登录），建议修改前备份原配置文件，避免认证异常。
通过防火墙或SSH服务配置限制
对于基于SSH的远程登录,可通过SSH服务配置文件或防火墙实现访问控制，编辑/etc/ssh/sshd_config文件，使用AllowUsers或DenyUsers指令指定允许或禁止的用户，例如AllowUsers user1 user2仅允许user1和user2登录，DenyUsers test禁止test用户登录，结合AllowHosts或DenyHosts可限制登录IP地址，如AllowHosts 192.168.1.0/24仅允许该网段用户登录，防火墙方面，使用iptables或firewalld规则可阻断特定IP的访问，例如iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j DROP禁止IP168.1.100的SSH连接，此方法适用于网络层访问控制，需确保管理IP地址未被误封。
系统级账户锁定与用户组管理
对于需要长期禁用的账户,可使用usermod命令锁定用户，例如usermod -L test会在用户密码前添加前缀，使其无法通过密码认证；解锁则使用usermod -U test，通过用户组管理可实现批量控制，例如创建nologin组，将需要限制的用户加入该组，然后在PAM配置中禁止该组用户登录，或设置该组的默认shell为/sbin/nologin，此方法适合大规模用户环境，便于集中管理权限。
注意事项
在实施用户登录限制时,需确保保留至少一个管理员账户（如root）的登录权限，避免因配置错误导致无法管理系统，建议定期检查登录限制规则的有效性，特别是密码过期、账户失效等时间相关的配置，防止意外影响正常用户使用，对于生产环境，变更前应在测试环境中验证，并做好配置备份，确保系统安全稳定运行，通过合理组合上述方法，可灵活应对不同场景下的用户登录管理需求，提升系统的安全性和可控性。
