口令复杂度真正落地需建立“策略生效→行为拦截→账户扫描→问题闭环”自动化校验链：域环境验证GPO应用与实时拦截，Linux执行PAM配置测试与弱口令批量审计，数据库启用插件并定期回扫高风险账户，全链路参数对齐、错误提示脱敏、结果自动派单。
要让口令复杂度真正落地，不能只靠策略配置，必须建立“策略生效→行为拦截→账户扫描→问题闭环”的自动化校验链。核心是区分环境（域环境/Linus/数据库等），按机制分层验证，而非统一脚本打天下。
域环境：从GPO配置到实时拦截验证
在域控制器上启用「密码必须符合复杂性要求」只是起点，它只对标准路径（Ctrl+Alt+Del改密、域登录强制修改、LDAP/Kerberos协议密码修改）生效。绕过校验的操作（如PowerShell直写unicodePwd、DSACLS重置）不会触发pwdfilt.dll校验。
- 用gpresult /h report.html确认目标GPO已应用到测试用户，且「密码策略」项显示为已启用
- 新建测试账号，在登录界面或Ctrl+Alt+Del中尝试设123456或password123，观察是否被实时拒绝并提示“密码不符合复杂性要求”
- 检查域控制器「安全」日志，筛选事件ID 4723（改密尝试）和4724（成功重置），对比失败记录中的调用方式是否为标准交互式操作
Linux系统：PAM策略+批量状态审计双轨运行
启用pam_pwquality.so后，新设密码受控，但历史弱口令仍大量存在。需同步执行策略检查与账户扫描。
- 运行pam_pwquality --test --verbose验证配置是否被正确加载，避免/etc/security/pwquality.conf参数被注释或冲突
- 提取所有有密码哈希的活跃账户：awk -F: '$2 != "*" && $2 != "!" {print $1}' /etc/shadow
- 对高权限账户（root、sudo组成员）人工抽检：用openssl rand -base64 12生成强密码，执行sudo passwd username，确认是否被策略拦截
数据库类系统（MySQL/Oracle/EBS）：插件启用+变更拦截+定期回扫
这类系统密码策略依赖插件或配置文件，但不自动清理旧账号弱口令，必须主动扫描补漏。
- MySQL 8.0启用validate_password组件后，执行SET PASSWORD = '123456';应报错ERROR 1819；再查SELECT * FROM performance_schema.variables_by_thread WHERE VARIABLE_NAME LIKE 'validate%';确认策略值生效
- Oracle EBS需设置SIGNON_PASSWORD_HARD_TO_GUESS=TRUE并配合SIGNON_PASSWORD_LENGTH=12，之后用测试用户尝试提交弱密码，验证前端与后台校验是否一致
- 编写轻量Shell脚本，每天凌晨遍历mysql.user表中非系统账户，用SELECT user,host,authentication_string FROM mysql.user WHERE user NOT IN ('root','mysql.sys');导出账号列表，离线送入爆破工具快速识别TOP10高风险账户
通用自动化闭环设计要点
真正可落地的校验不是一次性的，而是嵌入运维流程的持续动作。
- 所有校验逻辑必须前后端一致——前端JS校验规则、后端API校验、数据库插件策略三者参数完全对齐，避免用户被前端拦住却在API层绕过
- 错误提示不暴露策略细节，例如返回“密码强度不足”，而非“缺少一个特殊字符”
- 每次策略更新后，自动触发一轮全量扫描：域环境查Get-ADUser -Filter * -Properties PasswordLastSet,PasswordNeverExpires；Linux跑chage -l批量分析；数据库执行对应SQL
- 扫描结果生成带优先级的工单（如：高危账户立即冻结、中危账户72小时内整改、低危账户纳入下月审计），接入ITSM系统自动派发
