银河麒麟系统为新用户设置首次登录强制改密策略，需先执行sudo useradd -m username创建用户并设临时密码，再用sudo chage -d 0 username标记密码立即过期，最后通过su - username验证提示“You are required to change your password immediately”。
银河麒麟系统需为新创建的用户设置首次登录强制改密策略，防止初始密码长期未更换带来安全风险，该操作必须在用户已存在且密码已设置的前提下执行，否则系统无法触发改密流程。
创建用户并配置初始密码
这是后续所有操作的前提，缺一不可：没有有效密码或账户被锁定，chage命令将无法生效。
执行sudo useradd -m username创建用户及家目录，-m参数确保生成/home/username目录，缺失会导致登录后shell无法启动。
运行sudo passwd username设置一个管理员可控的临时密码，例如Temp@2026，输入过程无屏幕回显，属正常现象。
验证密码状态：执行sudo passwd -S username，输出中第二列必须为【P】（表示密码可用），若显示L（锁定）或NP（无密码），则chage -d 0不会触发强制改密。
标记密码为“立即过期”
只用一条命令即可让系统判定该密码从1970年1月1日起就该换了，从而在下次成功认证后自动中断登录流程，要求用户改密。
执行sudo chage -d 0 username，其中username必须与useradd时一致，大小写敏感，输错会导致目标账户不受影响。
检查是否生效：运行sudo chage -l username，重点确认“Password must be changed”字段显示为yes，而“Password expires”显示never是正确结果；若此处显示no，说明上一步未执行成功。
验证与排障
切换到新用户环境进行真实测试是最可靠的方式，避免仅依赖命令返回结果误判。
第一步：在终端中执行su - username，输入刚才设置的Temp@2026，认证通过后应立刻看到提示：You are required to change your password immediately (root enforced)。
第二步：按提示连续两次输入符合复杂度的新密码（至少8位，含大小写字母+数字），若卡在输入环节或报Authentication token manipulation error，立即检查：【sudo chown -R username:username /home/username】，家目录权限错误是此报错最常见原因。
第三步：改密成功后自动进入用户shell，执行exit退出，再用ssh username@localhost重试一次，确认机制对远程登录同样生效。
