PAM 通过 pam_env.so 模块在认证或会话阶段加载环境变量，支持系统级（/etc/security/pam_env.conf）和用户级（~/.pam_environment）配置，需在对应服务的 PAM 配置中启用并注意权限与调试方法。
在 Linux 系统中，PAM（Pluggable Authentication Modules）本身不直接设置登录后的环境变量，但可通过 pam_env.so 模块读取配置文件，在用户认证阶段（如登录、su、sudo）注入环境变量。关键在于正确配置 PAM 和对应的环境变量定义文件。
使用 pam_env.so 加载环境变量
pam_env.so 是 PAM 提供的专用模块，用于从配置文件中读取键值对并设为环境变量。它支持系统级和用户级配置，且可条件化加载（如按服务、终端、用户组等）。
- 默认配置文件是
/etc/security/pam_env.conf，每行格式为：VAR_NAME DEFAULT="value" OVERRIDE="value_if_set" - 支持变量展开，例如
HOME、USER、SHELL等 PAM 内置项，也可引用其他已定义变量 - 若需加载额外配置文件（如按用户或组），可用
conf=/path/to/file参数指定
在 PAM 配置中启用 pam_env
需将 pam_env.so 添加到对应服务的 PAM 配置中（如 /etc/pam.d/login 或 /etc/pam.d/sshd），通常放在 auth 或 session 类型下：
- 对交互式登录（如 console、SSH），推荐加在
session段，确保每次会话都生效：session required pam_env.so - 若需在认证前就设置（例如影响密码策略判断），可加在
auth段：auth [default=ignore] pam_env.so - 注意：SSH 登录需确认
/etc/pam.d/sshd已启用该模块，且 OpenSSH 配置中未禁用 PAM（UsePAM yes）
支持用户自定义环境变量（~/.pam_environment）
pam_env.so 支持每个用户在主目录下放置 ~/.pam_environment 文件（需严格权限：600，属主为用户），格式为简单键值对，一行一变量：
- 示例内容：
EDITOR DEFAULT=vi<br>PATH DEFAULT=${PATH}:/opt/mybin - 该文件仅在用户登录时由 PAM 读取一次，不执行 shell 解析，不支持命令替换或复杂语法
- 需确保 PAM 配置中启用
user_readenv=1参数，例如：session required pam_env.so user_readenv=1
验证与调试技巧
环境变量是否生效取决于 PAM 加载时机和服务类型，常见问题可通过以下方式排查：
- 登录后运行
env | grep VAR_NAME查看变量是否存在 - 检查 PAM 日志（如
/var/log/secure或journalctl -u sshd）是否有pam_env相关错误 - 临时添加
debug参数启用详细日志：session [default=info] pam_env.so debug - 注意：图形界面（如 GDM、SDDM）可能绕过传统 PAM session 链，此时建议改用桌面环境自身的启动脚本（如
~/.profile）设置变量
