要查看linux用户最近登录信息，可使用lastlog命令。1.直接输入lastlog可列出所有用户的上次登录信息；2.使用lastlog -u [用户名或uid]可查看指定用户的登录记录，适用于用户名修改的情况；3.输出中的”never logged in”表示该用户从未登录或/var/log/lastlog文件未正确更新；4.结合lastlog -t [天数]可筛选指定天数内登录的用户，注意该参数实际查找的是在该天数前登录的用户；5.输出中的端口信息用于判断登录方式，如pts表示ssh登录、tty表示本地登录；6.lastlog需root权限查看所有用户信息，普通用户仅能查看自身记录；7.清除记录应使用lastlog -i -u [用户名]命令，将登录时间设为1970年，不推荐直接删除/var/log/lastlog文件。
查看linux用户最近登录信息，
lastlog
命令是你的好帮手。它能告诉你每个用户上次登录的时间，对于排查安全问题或者了解用户活跃度都很有用。
lastlog
命令直接在终端输入即可，不需要任何参数，它会列出所有用户的上次登录信息。但如果用户很多，信息会非常长，这时候就需要一些参数来过滤和格式化输出了。
如何用
lastlog
lastlog
命令查看指定用户的登录信息？
使用
-u
参数可以指定用户名或者用户ID。例如，要查看用户
john
的上次登录信息，可以输入
lastlog -u john
。 这个命令会直接显示john用户的登录信息，包括用户名、端口、上次登录时间和IP地址（如果有的话）。
另外，你也可以用用户ID来指定用户，比如
lastlog -u 1001
。 这在某些情况下很有用，比如用户名被修改过，但是用户ID没变。
lastlog
lastlog
输出结果中的”Never logged in“是什么意思？
lastlog
命令的输出中，如果看到 “Never logged in“，这表示该用户从未登录过系统。 这可能是新建的用户，也可能是很久没用的账号。
有时候，即使某个用户已经登录过，但
lastlog
仍然显示 “Never logged in“。 这通常是因为
/var/log/lastlog
文件没有正确更新。 这个文件记录了每个用户的上次登录时间，如果文件损坏或者权限有问题，就可能导致显示错误。 可以尝试手动更新
/var/log/lastlog
文件，或者检查文件权限。
如何用
lastlog
lastlog
命令查找最近几天登录过的用户？
lastlog
命令结合
-t
参数可以实现这个功能。
-t
参数后面跟的是天数，表示只显示在指定天数内登录过的用户。 例如，要查看最近7天内登录过的用户，可以输入
lastlog -t 7
。
这个命令会列出所有在过去7天内登录过的用户，以及他们的上次登录信息。 对于长时间运行的服务器，这个功能可以快速筛选出活跃用户，方便进行管理和监控。
需要注意的是，
-t
参数实际上是查找在指定天数之前登录过的用户。 所以，
lastlog -t 7
实际上是查找7天前的登录记录，而不是最近7天的。 这一点容易混淆，使用时需要注意。
lastlog
lastlog
命令输出中的端口信息有什么用？
lastlog
命令会显示用户上次登录的端口信息。 这个端口通常是 SSH 连接的端口，可以用来判断用户是通过什么方式登录的。
如果端口号是
pts/0
、
pts/1
等，表示用户是通过 SSH 客户端登录的。 如果端口号是
tty1
、
tty2
等，表示用户是在服务器本地登录的。
通过分析端口信息，可以了解用户的登录方式，对于排查安全问题很有帮助。 比如，如果发现某个用户经常从陌生的端口登录，可能就需要警惕账号被盗用的风险。
lastlog
lastlog
命令的权限问题
lastlog
命令需要 root 权限才能查看所有用户的登录信息。 普通用户只能查看自己的登录信息。
如果普通用户尝试查看其他用户的登录信息，会提示 “Permission denied”。 这是因为
/var/log/lastlog
文件的权限限制，只有 root 用户才能读取。
如果需要让普通用户也能查看所有用户的登录信息，可以修改
/etc/sudoers
文件，允许普通用户以 root 权限运行
lastlog
命令。 但这样做会带来一定的安全风险，需要谨慎考虑。
如何清除
lastlog
lastlog
记录？
有时候，出于安全或者隐私的考虑，可能需要清除
lastlog
记录。 直接删除
/var/log/lastlog
文件是不推荐的，因为这会导致文件损坏。
比较安全的方法是使用
lastlog -i
命令，它可以将指定用户的登录时间设置为 0，相当于清除了该用户的登录记录。 例如，要清除用户
john
的登录记录，可以输入
lastlog -i -u john
。
这个命令会修改
/var/log/lastlog
文件，将
john
用户的登录时间设置为 1970 年 1 月 1 日，相当于从未登录过。
