核心是禁止用户sudo执行passwd命令：在/etc/sudoers中用visudo配置权限列表时显式排除!/usr/bin/passwd（及可能的/bin/passwd），禁用ALL宽泛授权，并用chattr +i锁定sudoers等关键文件防篡改。
要防止普通用户通过 sudo 修改自己的密码，核心思路是：**不给用户授权执行 passwd 命令，同时明确禁止该命令出现在其 sudo 权限列表中**。因为 sudo passwd username 是普通用户绕过自身密码限制、篡改账户凭证的常见方式。
明确禁止 passwd 命令
在 /etc/sudoers 中为用户或用户组配置权限时，必须显式排除 passwd。使用 visudo 编辑（严禁直接用 vi/vim）：
- 若用户属于
%admin组，将默认的%admin ALL=(ALL) ALL改为：
- 其中
!/usr/bin/passwd表示“禁止执行该路径下的 passwd 命令”； - 注意：passwd 通常位于
/usr/bin/passwd（主流发行版），极少数系统可能在/bin/passwd，需确认后一并禁止； - 单独一行写
username ALL=(ALL) !/usr/bin/passwd不生效，必须放在权限列表中与其他命令一起声明。
避免授予 ALL 权限
切勿使用 username ALL=(ALL) ALL 或 username ALL=(ALL) NOPASSWD:ALL 这类宽泛授权。这类配置等同于开放 root 权限，用户可直接运行 sudo passwd $USER 或 sudo passwd root，完全失去控制。
- 应坚持最小权限原则：只列明业务必需的命令，例如
/usr/bin/systemctl、/usr/bin/journalctl； - 若需批量管理，建议定义
Cmnd_Alias，再引用，提升可读性与可维护性； - 所有命令路径务必写绝对路径，防止被恶意软链接或 PATH 劫持绕过。
锁定 sudoers 配置文件防篡改
即使配置了禁止规则，用户若能修改 /etc/sudoers 文件本身，就能自行解除限制。因此需加固配置文件：
- 执行
chattr +i /etc/sudoers，设置不可修改属性（需 root 权限）； - 同样处理关键关联文件：
/etc/sudoers.d/目录、/etc/sudo.conf； - 注意：加锁后任何修改（包括
visudo）都会失败，需先chattr -i解锁，操作完再加回。
验证与测试
配置完成后，务必切换到目标用户实测：
- 运行
sudo -l查看当前用户被允许/禁止的命令列表，确认passwd不在其中； - 尝试执行
sudo passwd $USER，应返回类似Sorry, user xxx is not allowed to execute '/usr/bin/passwd xxx' as root的拒绝提示； - 检查日志：
sudo grep 'passwd' /var/log/auth.log，确认无成功执行记录。
