银河麒麟V10设置GRUB开机密码需执行五步：①root下运行grub-mkpasswd-pbkdf2生成加密串；②完整复制输出的grub.pbkdf2开头长字符串；③备份40_custom文件；④在文件末尾严格按格式添加set superusers和password_pbkdf2两行；⑤sudo update-grub后重启，按e/c键验证输入root及密码。
银河麒麟V10系统需在启动早期阶段阻止他人篡改内核参数、跳过登录验证或进入单用户模式，必须设置开机引导密码——该密码作用于GRUB加载器层面，与用户登录密码完全独立，不输入就无法编辑启动项或调出命令行。
使用grub-mkpasswd-pbkdf2生成并注入加密密码
这一步操作起来很简单，直接在终端里敲几行命令就行，但中间漏掉一个字符整个配置就失效。
① 以root身份打开终端，执行：
grub-mkpasswd-pbkdf2
② 系统会提示你输入新密码并再次确认，注意：此时屏幕不显示任何字符，包括星号，输完直接回车即可。输出结果形如 【grub.pbkdf2.sha512.10000.8A9F2E...（一长串不可截断的字符）】，请完整复制整行，从“grub.pbkdf2”开头到末尾，不能换行、不能加空格、不能少任意一位。
③ 备份原始配置文件，防止误操作导致GRUB无法启动：
cp /etc/grub.d/40_custom /etc/grub.d/40_custom.bak
④ 用nano编辑器打开自定义配置文件：
sudo nano /etc/grub.d/40_custom
⑤ 在文件最末尾另起两行，严格按以下格式粘贴（注意：password_pbkdf2和加密串之间不能有任何空格，用户名必须是root）：
set superusers="root"
password_pbkdf2 root grub.pbkdf2.sha512.10000.8A9F2E...
更新配置并验证生效
完成编辑后按 Ctrl+O 保存，Ctrl+X 退出 nano。
执行更新命令：
sudo update-grub
重启系统，在GRUB菜单出现后，立即按 e 键或 c 键——此时会弹出用户名输入框，输入 root，再输入你刚才设定的密码。若未弹窗，请检查是否遗漏了 set superusers 行，或加密串被截断。
