pwck 命令仅验证账号一致性，不提供自动修复功能；它严格校验 /etc/passwd 和 /etc/shadow 的字段数、唯一性、路径、shell 合法性等，并报告错误，修复需人工或脚本配合 mkdir、usermod、pwconv 等命令完成。
pwck 命令本身**不提供自动修复功能**，它只做验证和报告，不能直接修复破损或不一致的账号。所谓“定期扫描并修复”，需要你组合使用 pwck + 其他命令 + 脚本逻辑来实现闭环，而不是靠 pwck 单独完成。
pwck 的核心定位是“检查员”，不是“修理工”
它会严格校验以下内容：
- /etc/passwd 中每行是否恰好有 7 个字段、用户名是否唯一、UID/GID 是否合法、家目录路径是否存在、登录 shell 是否在 /etc/shells 中
- /etc/shadow 中每行是否恰好有 9 个字段、是否与 /etc/passwd 用户一一对应、密码字段格式是否合规、密码过期时间是否未设在未来
- passwd 和 shadow 条目之间 UID 级别的匹配关系
发现错误时，它只会输出提示（例如 user 'libai': directory '/home/libai' does not exist），并明确说明“提示用户删除或修正”，不会擅自修改任何文件。
真正能“修复”的操作需手动或脚本驱动
常见需人工介入或编写逻辑处理的问题类型：
-
缺失家目录：用
mkdir -p /home/username && chown username:username /home/username -
无效 shell：用
usermod -s /bin/bash username替换为合法 shell -
UID/GID 冲突或越界：需先确认冲突来源，再用
usermod -u NEWUID -g NEWGID username -
passwd/shadow 条目不匹配：可能需用
pwconv（从 passwd 生成 shadow）或pwunconv（合并回 passwd）重建一致性
实现定期扫描的实用方式
可将 pwck 作为检测入口，配合日志与条件判断构建轻量巡检机制：
- 每天凌晨运行：
pwck -q 2>/var/log/pwck-check.log，仅记录错误 - 用脚本检查日志是否非空：
if [ -s /var/log/pwck-check.log ]; then echo "⚠️ 发现账号异常" | mail -s "pwck alert" admin@example.com; fi - 对已知模式问题（如批量缺失家目录）写专用修复脚本，但务必加 dry-run 开关和备份（如
cp /etc/passwd /etc/passwd.$(date +%F).bak）
注意：所有修改 /etc/passwd 或 /etc/shadow 的操作都必须在 root 权限下进行，且强烈建议先备份再操作。
替代思路：优先预防，而非事后修复
比起定期扫错再修，更稳妥的做法是：
- 统一通过
useradd -m -s /bin/bash username创建用户（自动建家目录、设合法 shell） - 禁用直接编辑 /etc/passwd 或 /etc/shadow，改用
usermod、passwd、chsh等封装命令 - 在自动化部署中加入 pwck 校验步骤（如 CI 流水线里跑
pwck -r），把问题卡在上线前
不复杂但容易忽略。
