linux系统中配置用户密码复杂度主要依赖pam模块的pam_pwquality。1. 核心配置文件为/etc/security/pwquality.conf或在/etc/pam.d/common-password中指定参数；2. 关键参数包括minlen（最小长度）、dcredit（数字要求）、ucredit（大写字母）、lcredit（小写字母）、ocredit（特殊字符）、difok（新旧密码差异）、maxrepeat（字符重复限制）、maxclassrepeat（字符类别重复限制）、gecoscheck（检查用户信息）、badwords（禁用词列表）；3. 验证方法包括尝试设置弱密码、使用pwscore工具评分、查看认证日志、利用pamtester模拟测试；4. pam_pwquality相比旧版pam_cracklib功能更强大，支持更精细策略，推荐用于现代系统安全加固。
linux系统里，想让用户密码够强，主要靠PAM模块里的
pam_pwquality
。它就是那个幕后英雄，确保大家设置的密码不是’123456’这种一眼就能猜到的。
在Linux系统里，配置用户密码复杂度，核心就是搞定
pam_pwquality
模块。这模块通常通过
/etc/security/pwquality.conf
文件来集中管理规则，或者直接在PAM服务配置文件（比如
/etc/pam.d/common-password
）里指定参数。
要让密码规则生效，你通常需要在
/etc/pam.d/common-password
文件里找到或添加类似下面这行：
password requisite pam_pwquality.so retry=3
这行告诉系统，在设置密码时必须通过
pam_pwquality
的检查。
retry=3
意味着用户有三次尝试机会。
然后，具体的密码规则就写在
/etc/security/pwquality.conf
文件里。这个文件里有很多参数可以调整，我个人觉得几个关键的参数是：
-
minlen = 12
：密码最小长度。我通常会设置到12或更高，毕竟现在算力越来越强了。
-
dcredit = -1
：要求至少包含一个数字。负数表示必须包含，正数表示奖励分数。
-
ucredit = -1
：要求至少包含一个大写字母。
-
lcredit = -1
：要求至少包含一个小写字母。
-
ocredit = -1
：要求至少包含一个特殊字符（例如
!@#$%^&*
）。
-
difok = 7
：新密码与旧密码至少要有7个字符不同。这个参数挺重要的，防止用户只是改动一两个字符。
-
maxrepeat = 3
：同一个字符不能连续出现超过3次。
-
maxclassrepeat = 4
：同一类字符（数字、大写、小写、特殊字符）不能连续出现超过4次。
-
gecoscheck
：检查密码是否包含用户的GECOS信息（比如全名、电话）。这能防止很多人用自己名字做密码。
-
badwords = /etc/security/pwquality.badwords
：可以指定一个文件，里面列出不允许出现在密码里的常用词或公司名。
配置好这些参数后，保存文件，下次用户修改密码时，这些规则就会生效了。如果你的系统用的是
authselect
或
authconfig
，可能需要通过这些工具来管理PAM配置，直接修改文件可能会被覆盖。
Linux密码复杂性配置的安全性考量
密码复杂性，说白了，就是给那些想不劳而获的人增加门槛。这不仅仅是技术配置，更是企业合规和个人信息安全的底线。在我看来，配置密码复杂度，最直接的目的就是对抗各种自动化攻击，比如暴力破解和字典攻击。
你想啊，如果一个密码是“password123”，用不了几秒钟就能被破解。但如果它包含大小写字母、数字和特殊符号，长度还够长，比如“MyS3cr3tP@ssw0rd!_2024”，那破解难度就指数级上升了。这就像给你的房子加了好几道锁，小偷看到这阵势，可能就直接放弃了。
再者，很多行业的合规性要求（比如PCI DSS、HIPAA等）都对密码强度有明确规定。达不到这些要求，轻则罚款，重则业务停摆。所以，这不光是为了安全，也是为了“活下去”。
我常常看到一些系统管理员，为了方便，把密码策略设置得非常宽松。结果呢？一旦某个用户密码泄露，整个系统都可能面临风险。一个强大的密码策略，能有效降低这种“一点突破，全盘皆输”的风险。它不是万能的，但绝对是第一道也是最关键的防线。
如何调试和验证pam_pwquality配置是否生效？
有时候改了半天配置文件，心里总会犯嘀咕：这玩意儿到底生效了没？验证
pam_pwquality
配置是否生效，有几个常用的办法，我觉得都挺实用的。
首先，最直接的办法是尝试设置一个明显不符合规则的密码。比如，你把
minlen
设成了12，那就尝试把密码改成
test
，看看系统会不会拒绝。如果系统报错提示密码不符合要求，那说明配置生效了。
其次，你可以使用
pwscore
工具来测试。这个工具会根据当前的
pwquality.conf
配置，给一个密码打分。得分越高，表示密码越强。比如：
pwscore (输入密码)
它会告诉你这个密码的得分，以及为什么得分低（比如缺少大写字母、太短等）。这对于调试单个参数非常有用。
再来，就是看日志。当用户尝试修改密码时，PAM模块的活动都会记录在系统的认证日志里，通常是
/var/log/secure
或
/var/log/auth.log
。你可以
tail -f
这些日志文件，然后尝试修改密码，观察是否有
pam_pwquality
相关的错误或警告信息。如果密码不符合要求，日志里会清晰地记录下来。
最后，如果你想模拟更复杂的PAM流程，
pamtester
是个不错的工具。它可以用来测试PAM模块的认证和密码管理功能，虽然用起来稍微复杂一点，但对于深入调试很有帮助。
调试过程中，最常见的坑就是配置文件路径不对、PAM模块加载顺序问题，或者配置参数拼写错误。所以，每改动一点，最好都用上面这些方法验证一下。
pam_pwquality与旧版pam_cracklib的区别和选择
说实话，现在还在用
pam_cracklib
的系统，真该考虑升级了。
pam_pwquality
可以看作是
pam_cracklib
的“继任者”，它在功能和灵活性上都有了显著的提升。
pam_cracklib
是比较老的模块，它的功能相对简单，主要就是检查密码长度、是否包含不同字符类型等。虽然也能满足基本的密码复杂度需求，但它的配置选项有限，不够精细。比如，它很难做到像
pam_pwquality
那样，限制连续重复字符的数量，或者检查密码是否包含常用字典词汇。
而
pam_pwquality
则提供了更细粒度的控制。它引入了像
maxrepeat
（最大重复字符数）、
maxclassrepeat
（最大连续同类字符数）、
badwords
（禁用词列表）以及
gecoscheck
等参数，这些都是
pam_cracklib
所不具备的。这意味着你可以制定更复杂、更智能的密码策略，有效抵御更多类型的密码攻击。
从维护和未来的发展来看，
pam_pwquality
显然是更好的选择。它更活跃，社区支持也更好。大多数现代Linux发行版都默认使用或推荐使用
pam_pwquality
。如果你在管理一个还在用
pam_cracklib
的老系统，我强烈建议你花点时间把它迁移到
pam_pwquality
。虽然需要一点点学习成本，但长远来看，这绝对是值得的投资，能让你的系统安全防护更上一层楼。
