银河麒麟V10 SP1系统密码重置：GRUB单用户模式实战指南
1. 问题场景与核心思路
遇到银河麒麟V10 SP1系统登录密码忘记的情况，无论是个人工作站还是运维人员管理的服务器，都是一个让人头疼但必须解决的问题。这不像Windows PE那样有广为人知的工具盘，也不像某些Linux发行版有现成的“单用户模式”一键入口。银河麒麟作为国产操作系统的代表，其底层基于Linux，安全机制更为严格，这导致常规的Linux密码重置方法在这里可能会遇到一些“水土不服”。我处理过不少类似的求助，发现很多朋友卡在了引导参数修改、文件系统挂载或者权限验证这些环节。
所以，这篇内容的核心，就是带你走通一条在银河麒麟V10 SP1上，无需第三方工具、仅利用系统自身恢复模式，安全重置root及普通用户密码的完整路径。整个过程围绕着“修改系统启动参数 -> 以读写方式挂载根文件系统 -> 直接修改用户密码文件”这条主线。听起来简单，但实操中每一个环节都有细节需要注意，比如如何正确进入GRUB菜单、如何识别正确的根分区、如何避免因SELinux或文件系统属性导致的修改失败等。我会把这些容易踩坑的地方掰开揉碎了讲清楚。
2. 前期准备与进入GRUB引导菜单
重置密码的第一步，是获得对系统启动过程的控制权。银河麒麟V10 SP1默认使用GRUB2作为引导加载程序，但为了安全，其菜单通常是隐藏的。我们的目标就是在系统启动的短暂瞬间，让它显示出来。
2.1 物理环境确认与启动时机
首先，你必须拥有对机器的物理操作权限。如果是远程服务器，你需要通过带外管理（比如iDRAC、iLO、BMC）的虚拟控制台来操作。虚拟机（如VMware、VirtualBox）则直接连接控制台即可。
关键操作在于启动或重启机器。当屏幕出现主板厂商Logo或麒麟启动画面时，你需要立刻、连续地按下键盘上的Esc键（有时也可能是Shift键，但银河麒麟更常用Esc）。这个时机非常短暂，大概只有1-2秒。如果错过了，系统就会直接加载默认内核进入正常启动流程。我的经验是，在按下电源键后，手指就放在Esc键上快速连击，直到看到黑底白字的GRUB菜单出现为止。
注意：在一些预装的安全版银河麒麟或某些硬件上，BIOS/UEFI的快速启动功能可能会跳过这个按键检测阶段。如果多次尝试无法调出GRUB菜单，需要进入BIOS/UEFI设置，暂时关闭“Fast Boot”或“Quick Boot”选项。
2.2 识别与操作GRUB菜单
成功之后，你会看到一个类似下图的菜单界面。通常第一个条目就是默认启动的银河麒麟系统（例如 “Kylin V10 SP1 Advanced Server”），它处于高亮选中状态。
Kylin V10 SP1 Advanced Server Advanced options for Kylin V10 SP1 Advanced Server这时，不要按回车键启动。使用键盘的上下方向键，将高亮条移动到第一个启动项上（如果本来就在，则无需移动），然后按下e键。这个e键代表“edit”，即编辑本次启动的配置参数。这是整个操作中最关键的一步，因为我们将要临时修改内核启动参数。
3. 内核启动参数的关键修改
按下e键后，你会进入一个文本编辑界面，屏幕上显示的是GRUB的配置文件内容。这里面的信息看起来很多，但我们的目标非常明确：找到以linux开头的那一行。这一行定义了内核镜像的路径和启动参数。
3.1 定位并修改启动参数
你需要仔细浏览屏幕上的内容，找到类似下面这样的一行（具体路径可能略有不同）：
linux /boot/vmlinuz-4.19.90-25.ky10.x86_64 root=/dev/mapper/klas-root ro quiet splash $vt_handoff这一行的核心参数是ro quiet splash。
ro: 表示以只读（read-only）方式挂载根文件系统。这是正常启动的安全设定，但也是我们修改密码的障碍，因为我们需要向/etc/shadow文件写入新密码。quiet splash: 用于隐藏启动时的详细日志，显示图形化的启动画面。
我们的修改目标就是将ro替换为rw init=/bin/bash。
rw: 表示以读写（read-write）方式挂载根文件系统。init=/bin/bash: 这是一个“大杀器”参数。它告诉内核，在启动后不运行默认的/sbin/init进程（即系统和服务管理器），而是直接执行/bin/bash这个shell。这样，系统就会跳过多用户登录、图形界面等所有流程，直接给你一个拥有root权限的bash shell，而且这个shell所在的“环境”就是你的根文件系统。
所以，修改后的那一行应该类似于：
linux /boot/vmlinuz-4.19.90-25.ky10.x86_64 root=/dev/mapper/klas-root rw init=/bin/bash quiet splash $vt_handoff操作方式：使用键盘的方向键将光标移动到ro的位置，直接将其删除，然后输入rw init=/bin/bash。这里务必注意空格，确保参数之间用一个空格分隔。一个常见的错误是写成rwinit=/bin/bash，缺少了空格会导致参数解析失败。
3.2 启动修改后的配置
修改完成后，最关键的一步来了。根据GRUB2的版本和配置，启动修改后配置的快捷键可能不同。你需要依次尝试：
- 首先，按下
Ctrl + X组合键。这是最常见的方式，表示使用编辑后的配置启动。 - 如果
Ctrl + X没有反应（屏幕无变化），则尝试按下F10键。 - 在某些非常旧的或特殊定制的版本中，可能需要按
F10后再按回车。
请务必只按一次，然后观察屏幕。如果系统开始重新启动流程（你会看到内核加载信息，而不是回到GRUB菜单），并且最终停在一个命令行提示符（通常是bash-5.0#），那么恭喜你，已经成功进入了单用户bash环境。如果按了没反应或报错，请检查参数修改是否正确，尤其是空格和拼写。
4. 挂载文件系统与密码重置实操
系统启动后，你会直接看到一个bash-5.0#的提示符。注意，这里的#号表示你已经是root权限了。但是，此时的文件系统状态并不完整。
4.1 重新挂载根文件系统
虽然我们在内核参数中指定了rw，但有时系统可能仍然以只读方式挂载了根分区。为了确保万无一失，我们首先需要以读写方式重新挂载根文件系统。执行以下命令：
mount -o remount,rw /mount是挂载命令，-o指定选项，remount表示重新挂载，rw表示读写模式，/是根目录。执行这条命令后，根分区就真正处于可写入状态了。你可以用mount | grep ‘ / ’命令来验证，输出中应该包含rw字样。
4.2 选择并执行密码重置命令
现在，你可以修改任何用户的密码了。Linux系统的用户密码哈希值存储在/etc/shadow文件中，我们使用passwd命令来安全地修改它。
情况一：重置root用户密码（最常见）直接在提示符后输入：
passwd root系统会提示你输入新的密码，然后再次确认。输入时屏幕上不会有任何显示（星号也没有），这是正常的安全机制，盲输即可。成功后会有“password updated successfully”或类似的提示。
情况二：重置某个普通用户（如kylin）的密码如果你忘记的是普通用户密码，而该用户拥有sudo权限，重置它可能比重置root更便捷。命令类似：
passwd kylin然后同样输入并确认新密码。
重要经验：在单用户模式下，不需要输入旧密码。这是此方法的根本原理——绕过了所有身份验证流程，直接以最高权限修改密码数据库。这也是为什么必须拥有物理安全权限才能操作的原因。
4.3 处理SELinux安全上下文（关键避坑点）
银河麒麟V10 SP1默认启用了SELinux（安全增强Linux），这是一个强制访问控制安全模块。我们直接修改/etc/shadow文件后，其安全上下文（Context）可能会变得不正确，导致重启后SELinux阻止登录进程读取该文件，即使密码正确也无法登录。
因此，修改密码后，必须执行以下命令之一来修复文件上下文：
方法A（推荐，自动修复）：
touch /.autorelabel这条命令创建一个空文件/.autorelabel。系统在下次启动时，如果发现这个文件存在，会在加载SELinux策略后，自动重新标记（relabel）整个文件系统的安全上下文。这是一个一劳永逸的方法。
方法B（手动立即修复）：
chcon -t shadow_t /etc/shadow这条命令直接修改/etc/shadow文件的安全上下文类型为shadow_t，这是它正确的类型。如果你只修改了密码，没有动其他文件，这个方法更快。
我强烈推荐方法A。因为在单用户模式下，系统状态不完整，手动修复可能遗漏其他相关文件（如/etc/passwd或/etc/gshadow）。创建/.autorelabel文件是最稳妥的做法，虽然它会导致下次启动时间稍长（因为要扫描全盘文件），但能确保安全策略完全一致。
5. 完成重置并重启系统
所有操作完成后，就可以重启系统了。由于我们是用init=/bin/bash启动的，常规的reboot或shutdown -r now命令可能无法正常工作，因为系统的初始化进程（init）并没有运行。最可靠的方式是：
exec /sbin/reboot -f或者
sync; echo b > /proc/sysrq-trigger第一条命令exec /sbin/reboot -f会强制调用重启程序。第二条命令是一个Linux内核的“魔术键”组合，sync同步所有缓存数据到磁盘，然后通过sysrq触发一个立即重启。任选其一即可。
机器重启后，GRUB会自动使用原始的、未修改的配置启动（我们之前的修改仅对当次启动有效）。在启动过程中，如果之前创建了/.autorelabel文件，你会看到系统正在“Relabeling filesystem”的提示，请耐心等待其完成。
最后，系统会进入正常的图形登录界面或命令行登录提示。此时，使用你刚刚设置的新密码，登录root或相应的普通用户账户即可。
6. 可能遇到的异常情况与排查
即使按照上述步骤，也可能遇到一些问题。这里列出几个我碰到的典型情况及其解决方案。
6.1 GRUB菜单被密码保护
在一些高安全要求的部署中，GRUB菜单本身设置了密码。当你按下e键试图编辑时，会提示你输入用户名和密码。如果不知道这个密码，上述方法就失效了。这时，唯一的途径是联系当初设置该密码的系统管理员。对于个人电脑，如果确信是自己设置的但忘记了，可以考虑使用LiveCD/USB启动，然后挂载系统盘的/boot/grub2目录，查看或修改grub.cfg文件，但这涉及更多操作且有风险。
6.2 根分区识别错误导致启动失败
在编辑内核参数时，root=/dev/xxx指定了根分区。如果你错误地修改了这部分，或者系统使用了LVM、RAID等复杂的存储方案，init=/bin/bash可能因为找不到根分区而启动失败，报错如 “Cannot open root device”。切记：我们只修改ro为rw init=/bin/bash，root=后面的内容绝对不要动。如果不慎修改，最简单的方法是直接重启机器（长按电源键），重新来过。
6.3 修改密码后仍无法登录
如果按照流程操作，新密码仍无法登录，请按以下顺序排查：
- 键盘布局与大小写：在单用户模式下输入密码时，确认键盘布局是英文，并注意大小写锁定（Caps Lock）键的状态。
- SELinux问题：这是最可能的原因。请确认你是否执行了
touch /.autorelabel或chcon命令。重启后观察是否有文件系统relabel的流程。可以在登录界面的tty终端（按Ctrl+Alt+F2~F6）尝试登录，如果报错包含 “SELinux is preventing… access to the file /etc/shadow”，则肯定是此问题。解决方法依然是进入单用户模式，创建/.autorelabel文件后再次重启。 - 用户账户被锁定：连续输错密码可能导致账户被锁定（特别是root）。在单用户模式下，可以用
passwd -u root来解锁root账户，或用faillock –user root –reset清空失败计数。 - 家目录权限问题（极少见）：对于普通用户，如果其家目录权限被意外修改，可能导致登录进程失败。可以在单用户模式下检查
/home/用户名的权限是否为drwx——(700)，所有者是否正确。
7. 安全考量与预防措施
通过单用户模式重置密码，本质上是绕过了操作系统最外层的身份验证。这凸显了物理安全的重要性——任何能物理接触你电脑的人，理论上都可以用这种方法成为你系统的“主人”。因此，这既是一个强大的恢复手段，也是一个巨大的安全漏洞。
对于个人用户，确保电脑不轻易离开自己的视线。对于服务器，则应：
- 设置GRUB密码：编辑
/etc/default/grub文件，添加GRUB2_PASSWORD或使用grub2-mkpasswd-pbkdf2生成密码哈希并配置到/boot/grub2/user.cfg中，然后运行grub2-mkconfig更新配置。这样在启动时编辑菜单就需要密码了。 - 启用全盘加密：如果数据敏感性极高，应考虑在安装系统时启用LUKS等全盘加密方案。这样即使进入单用户模式，没有加密密码也无法挂载真正的数据分区，密码重置也就无从谈起。
- 配置BIOS/UEFI密码：给服务器或电脑的固件设置密码，可以防止他人从USB设备启动或修改启动顺序，增加一道防线。
- 定期备份与密码管理：最根本的预防措施是养成良好的密码管理习惯，使用密码管理器，并定期备份重要数据。对于服务器，应将root密码和GRUB密码密封保存于只有授权人员可访问的安全位置。
最后，这个方法仅用于你拥有合法管理权限的系统恢复。请务必遵守相关法律法规和公司政策，仅在授权范围内进行操作。