Linux无原生基于使用频率的账户锁定机制，仅通过pam_faillock.so实现失败登录次数控制；需配置deny、fail_interval和unlock_time三参数，并严格按顺序添加preauth、authfail和account三行规则，否则不生效。
Linux 没有原生的“基于使用频率”的账户锁定机制——系统不统计用户登录频次、命令执行次数或会话活跃时长来自动锁账号。所谓“使用频率”若指单位时间内的登录尝试，那实际就是失败登录次数控制，属于标准的暴力破解防护范畴，由 pam_faillock.so 精确实现；若指正常登录过于频繁（如1小时内登录10次），则不属于PAM默认管控场景，需额外设计。
真正可行且实用的路径，是把“频率”转化为可量化的、PAM能识别的行为指标：失败次数、时间窗口、成功登录间隔等。下面分三类讲清楚怎么做：
用 faillock 控制失败尝试的密度
核心参数 deny、fail_interval 和 unlock_time 共同定义了“多快算太频繁”。例如：
-
deny=3 fail_interval=300→ 5分钟内输错3次就锁 -
deny=6 fail_interval=900→ 15分钟内输错6次才锁
这本质是限制错误行为的密集度，而非正常使用频率。配置时插入/etc/pam.d/system-auth（RHEL/CentOS）或/etc/pam.d/common-auth（Debian/Ubuntu）：auth [default=ignore] pam_faillock.so preauth silent deny=3 unlock_time=600 fail_interval=300 auth [default=die] pam_faillock.so authfail deny=3 unlock_time=600 fail_interval=300 auth [default=ok] pam_faillock.so authsucc
注意三行顺序不可调换，且必须搭配
account required pam_faillock.so启用状态校验，否则不生效。
Zynq Linux Hardware Debug下载Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
对高频正常登录做人工干预式管控
系统不自动锁“登录太多”的人，但你可以：
- 用
last -n 20 username查最近登录记录，识别异常模式（如凌晨3点每10分钟登一次） - 结合
faillock --user username看失败历史，判断是否有人在撞库后改用合法凭证反复试探 - 若确认风险，手动锁号：
passwd -l username（禁用密码）或usermod -s /sbin/nologin username（禁shell） - 配合
chage -E $(date -d "+7 days" +%Y-%m-%d) username临时设账户过期，7天后自动失效
用日志+脚本实现自定义频率监控（进阶）
如果真需要按“每小时登录超5次”这类规则响应，得自己写检测逻辑：
- 定期解析
/var/log/auth.log或/var/log/secure，提取Accepted password for行 - 用
awk+date统计指定用户在滚动1小时内出现次数 - 超阈值时执行
faillock --user username --lock或发告警
示例片段（每5分钟检查一次）：grep "Accepted password for" /var/log/auth.log | awk -v cutoff=$(date -d '1 hour ago' '+%b %d %H:%M') '$0 > cutoff {print $11}' | sort | uniq -c | awk '$1 > 5 {print $2}' | xargs -r -I{} faillock --user {} --lock该方式灵活但需测试稳定性，生产环境建议配合 systemd timer 使用。
关键提醒：不要混淆“频率”和“失败”。Linux安全防线重心始终在防爆破，不是防勤快的人。合理设 fail_interval 比盲目压低 deny 更有效——它让攻击者无法靠拉长时间刷次数绕过限制。
