Linux账户锁定后需先判断类型再针对性解锁：LK状态用passwd -u或usermod -U；PAM自动锁用faillock --reset或pam_tally2 --reset；shell禁用则改回/bin/bash；过期账户用chage -E -1解除。
Linux账户被锁后不能直接“输对密码就恢复”，必须先确认锁定类型，再用对应方式解除。不同机制互不兼容，用错命令毫无效果。
一、先看账户到底被哪种方式锁了
执行这条命令快速判断：
sudo passwd -S username
输出第二列是关键：
-
LK：大概率是
passwd -l手动锁的（/etc/shadow 密码字段以!!开头） - PS 但登录仍失败：可能是 PAM 自动锁定（faillock 或 pam_tally2），需进一步查失败记录
- NP：没设密码，不是被锁，是根本没密码
-
EX 或显示过期日期：账户已过期，需用
chage -E -1 username解除
二、按锁定类型选解锁方法
① 手动锁的（passwd -l / usermod -L）
这是最常见的人为锁定，直接还原密码字段即可：
sudo passwd -u username
或等效命令：sudo usermod -U username
执行后立刻生效，无需重启服务。
② PAM 自动锁的（faillock 模块）
适用于 RHEL 8+/CentOS 8+、Ubuntu 22.04+ 等新版系统：
先查状态：sudo faillock --user username
再解锁：sudo faillock --user username --reset
注意：该操作只清空失败计数，不改密码、不改 shell，也不影响已配置的 SSH 密钥登录。
③ PAM 自动锁的（pam_tally2 模块）
适用于 CentOS 7、旧版 Ubuntu 等仍在用该模块的系统：
sudo pam_tally2 --user username --reset
查看当前计数：sudo pam_tally2 --user username
若提示 command not found，说明系统未安装 libpam-pwquality 或类似包，需先安装。
三、其他可能原因与处理
● Shell 被设为 /sbin/nologin 或 /bin/false
这不是“锁定”，而是禁止交互式登录。检查 /etc/passwd 中该用户行的第七字段：
sudo usermod -s /bin/bash username（恢复为标准 shell）
● 账户被设为过期
运行：sudo chage -l username
若显示 Account expires 有具体日期，用以下命令取消过期：
sudo chage -E -1 username
● SSH 密钥登录异常
即使账户没锁，也可能因 ~/.ssh/authorized_keys 权限错误（如 644）、目录权限宽松（如 .ssh 是 755）或 SELinux 上下文异常导致拒绝登录。修复命令：
chmod 600 ~/.ssh/authorized_keys && chmod 700 ~/.ssh
（RHEL/CentOS 环境还需：restorecon -Rv ~/.ssh）
四、验证是否真正解锁
完成任一解锁操作后，务必验证：
- 再次运行 sudo passwd -S username，确认第二列为 PS
- 用该用户尝试本地
su - username或 SSH 登录（避免用 root 切换，那不经过 PAM 认证） - 若仍失败，查日志：sudo grep username /var/log/auth.log（Debian/Ubuntu）或 /var/log/secure（RHEL/CentOS）
