Linux 批量改密码神器：chpasswd 命令详解，批量重置用户密码超高效

1. 命令简介

chpasswd 是一个用于批量更新用户口令（密码）的 Linux 系统管理工具。它通过标准输入或重定向文件读取 “用户名：密码” 格式的数据，并批量更新系统中相应用户的密码。该命令通常需要超级用户（root）权限执行，因为它会直接修改系统的用户认证文件（如 /etc/shadow）。

2. 语法格式

bash

运行

chpasswd [选项]

工作原理：chpasswd 默认从标准输入（stdin）读取数据。数据的每一行必须符合 用户名：密码 的格式。命令执行后，它会使用系统默认的加密算法（通常为 SHA-512 或 MD5，取决于系统配置）对密码进行加密，然后将加密后的密码哈希值写入 /etc/shadow 文件中相应用户的条目。

3. 常用选项及说明

表格

4. 示例用法

1. 基础用法：通过重定向文件批量修改密码

首先，创建一个文本文件（例如 user_passwords.txt），其中每行包含一个用户名和其新密码，格式为 username:password。

bash

运行

# 创建密码文件 cat > user_passwords.txt << EOF alice:newAlicePass123 bob:secureBobP@ss charlie:charlie2024! EOF # 使用 root 权限执行 chpasswd 批量更新密码 sudo chpasswd < user_passwords.txt

执行后，用户 alice、bob 和 charlie 的密码将被分别更新。

2. 使用管道（echo 或 cat）传递密码

bash

运行

# 单用户更新 echo "alice:AnotherNewPass" | sudo chpasswd # 多用户更新 cat << EOF | sudo chpasswd david:davidPass eve:eveSecret EOF

3. 使用加密后的密码（-e 选项）

此方法适用于需要同步密码哈希或从备份中恢复的场景。

bash

运行

# 假设已有一个 SHA-512 加密的密码哈希（可从 /etc/shadow 中获取或使用 openssl 生成） # 格式例如：$6$somesalt$V2X8bZzBq.../Q9 echo "alice:\$6\$somesalt\$V2X8bZzBq.../Q9" | sudo chpasswd -e

4. 指定加密方法（-c 选项）

强制使用 SHA-256 加密算法为新密码进行哈希。

bash

运行

echo "frank:myFrankPass" | sudo chpasswd -c SHA256

5. 注意事项

• 权限要求：执行 chpasswd 命令通常需要 root 权限（使用 sudo），因为它直接修改 /etc/shadow 文件，该文件普通用户无权写入。
• 密码格式文件：
  • 密码文件必须严格遵守 用户名：密码 的格式，冒号为英文冒号。
  • 用户名必须是系统中已存在的有效用户。
  • 密码可以是明文。出于安全考虑，建议在脚本中即时生成文件并立即使用，使用后立即删除密码文件。
  • 文件中不应包含多余的空格或空行。
• 安全性警告：
  • 避免在命令行历史中留下密码：类似 echo 'user:pass' | chpasswd 的命令可能会将明文密码记录在 shell 历史记录中。在生产环境中，更安全的做法是使用临时文件（并设置严格权限）或从安全存储中读取。
  • 谨慎使用 -e 选项：只有在你完全清楚提供的哈希值来源、算法和格式都正确时，才使用 -e 选项。错误的哈希值会导致用户无法登录。
• 密码策略：chpasswd 本身不强制系统的密码复杂度策略（如长度、字符类型）。密码是否被接受，取决于系统的 PAM（可插拔认证模块）配置。如果密码过于简单，可能会被系统拒绝。
• 加密算法：现代 Linux 发行版默认使用 SHA-512。使用 -m 或 -c 指定其他算法时，需确认系统支持该算法，并且了解其安全性差异（例如，DES 和 MD5 已被认为不够安全）。
• 验证结果：批量操作后，建议抽查几个用户，使用 su - username 或 ssh 测试新密码是否能成功登录，以确保更新无误。