Linux系统可通过PAM机制在密码修改成功后自动踢出用户所有会话：在/etc/pam.d/common-password或system-auth中添加pam_exec.so调用脚本，脚本内执行loginctl terminate-user "$1"，配合KillUserProcesses=yes增强安全性。
Linux系统本身不提供“密码修改即自动踢出所有会话”的开箱即用功能，但可通过PAM（Pluggable Authentication Modules）机制，在用户成功修改密码的**认证完成阶段**触发会话清理动作，实现近实时终止。关键在于利用pam_exec.so模块调用自定义脚本，结合loginctl完成用户级会话终结。
核心原理：在密码更新成功后立即执行会话清理
密码修改操作（如passwd命令）最终由pam_pwquality.so和pam_unix.so等模块处理。我们需在password [success=ok] pam_exec.so位置插入钩子——仅当密码更新真正成功时才运行清理脚本，避免误杀或重复执行。
该方案不依赖定时扫描，响应快（通常在1秒内），且只影响目标用户，不影响其他登录者。
配置步骤：修改PAM策略并编写清理脚本
以下操作需以root身份执行：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 编辑
/etc/pam.d/common-password（Debian/Ubuntu）或/etc/pam.d/system-auth（RHEL/CentOS/Fedora），在password [default=ok] pam_unix.so这一行之后添加：
- 创建清理脚本
/usr/local/bin/kill-user-sessions.sh，内容如下：
# $1 是当前操作的用户名（PAM自动传入）
if [ -n "$1" ] && [ "$1" != "root" ]; then
loginctl terminate-user "$1" 2>/dev/null
# 可选：记录日志
logger -t "pam-session-kill" "Terminated all sessions for user $1 after password change"
fi
- 赋予可执行权限：
chmod +x /usr/local/bin/kill-user-sessions.sh - 验证脚本能否手动运行：
sudo /usr/local/bin/kill-user-sessions.sh testuser，确认其能终止该用户所有会话（可用loginctl list-users和loginctl list-sessions检查）
注意事项与兼容性说明
该机制对以下场景有效：
- 本地TTY登录（Ctrl+Alt+F2等）
- SSH登录（包括密钥和密码方式）
- 图形界面会话（GNOME/KDE等基于systemd的桌面）
- 通过
su -或sudo -i切换的会话（只要原会话归属该用户）
不生效的情况包括：
- 非systemd系统（如使用SysV init的老版本CentOS 6）——
loginctl不可用，需改用pkill -u username等替代方案 - 容器内或chroot环境中的会话，可能不受host级
loginctl管理 - 用户正运行
tmux或screen且未启用killuserprocesses=yes（需检查/etc/systemd/logind.conf中该选项）
安全增强建议
为防止脚本被绕过或滥用，推荐补充以下两项：
- 在
/etc/systemd/logind.conf中设置：KillUserProcesses=yesIdleAction=lock
重启服务：systemctl restart systemd-logind - 限制脚本权限：
chown root:root /usr/local/bin/kill-user-sessions.sh && chmod 700 /usr/local/bin/kill-user-sessions.sh - 如需审计，可在脚本中加入
auditctl -a always,exit -F path=/usr/bin/passwd -F perm=x（需安装auditd）
