要真正防止用户短期内重复使用旧密码，必须同时满足三要素：在对应发行版的PAM密码配置文件（Ubuntu用common-password、RHEL用system-auth）中正确添加password requisite pam_pwhistory.so remember=5 use_authtok enforce_for_root；创建并授权/etc/security/opasswd（root:root,600）；且通过实测改密流程验证生效，历史记录从首次启用该配置后开始累积。
要在 Linux 系统中真正防止用户短期内重复使用旧密码，关键不是只改一个参数，而是让系统“记住旧密码”并“在改密时比对”。这需要 PAM 模块、历史存储文件、配置路径三者全部到位，缺一不可。
确认并修改正确的 PAM 配置文件
不同发行版调用的 PAM 密码链不同，不能统一改 system-auth：
- Ubuntu/Debian 系统：编辑 /etc/pam.d/common-password，这是 passwd 命令实际走的路径
- RHEL/CentOS 7+：编辑 /etc/pam.d/system-auth（RHEL 8+ 推荐优先检查该文件）
- 必须找 password 类型 的行（不是 auth 或 account），添加或修改为：
password requisite pam_pwhistory.so remember=5 use_authtok enforce_for_root
说明：pam_pwhistory.so 是当前主流推荐模块（比老式 pam_unix.so remember=5 更稳定）；remember=5 表示记录最近 5 次哈希；use_authtok 防止重复触发其他密码模块；enforce_for_root 可选，如需限制 root 用户也适用该策略。
创建并授权历史密码存储文件
系统不会自动创建这个文件，没有它，remember=5 完全静默失效：
- 执行命令创建空文件：sudo touch /etc/security/opasswd
- 设置属主和权限：sudo chown root:root /etc/security/opasswd && sudo chmod 600 /etc/security/opasswd
- 该文件由 PAM 在用户成功执行 passwd 时自动写入，不可手动编辑，也不建议清空（清空等于重置历史）
- RHEL/CentOS 上若启用了 SELinux，需检查是否拦截：sudo ausearch -m avc -ts recent | grep opasswd，如有拒绝记录，需调整策略
验证密码历史策略是否真实生效
别只看配置是否保存，要走完整改密流程测试：
- 切换到普通测试用户，连续执行三次 passwd，每次设不同密码（如 pass1 → pass2 → pass3）
- 再尝试将密码改回 pass1，应提示类似：The password has been used before
- 查看记录是否写入：sudo cat /etc/security/opasswd | grep ^username（每行末尾数字为序号，从 1 开始递增）
- 注意：历史记录从该用户首次成功使用带 remember 的 PAM 配置改密起开始累积，之前改过的密码不会被自动导入
避开几个高频失效陷阱
很多配置“看着对，实则无效”，问题常出在：
- 把 remember=5 加到 auth 行里（比如 auth [success=1 default=ignore] pam_unix.so），完全不起作用——必须加在 password 类型行
- 只改了 system-auth，但 Ubuntu 的 passwd 实际走的是 common-password，等于只给一半门上了锁
- 没建 /etc/security/opasswd 或权限错误（如 644 或属主非 root），PAM 不报错也不写入，策略彻底静默失效
- 混淆了 pam_pwquality.so 和 pam_pwhistory.so：前者管复杂度，后者管历史记录，二者需共存且顺序合理（pam_pwhistory.so 通常放在 pam_pwquality.so 之后）
