最可靠的方法是直接查看 /etc/shadow 第二字段的 $id$ 前缀：$1$ 表示 MD5，$5$ 表示 SHA-256，$6$ 表示 SHA-512（现代主流），$2a$/$2y$ 表示 Blowfish；其他工具如 authconfig --test 或 /etc/login.defs 仅反映配置意图或兜底策略，不能代表实际密码哈希算法。
直接看 /etc/shadow 第二字段的 $id$ 前缀最可靠
别依赖配置文件或命令输出去猜，/etc/shadow 每行第二字段（密码字段）本身已明确定义了当前使用的哈希算法。格式是 $id$salt$hash，其中 $id$ 就是算法标识符。
常见值包括：
-
$1$→ MD5 -
$5$→ SHA-256 -
$6$→ SHA-512（现代主流默认） -
$2a$,$2y$→ Blowfish 变种
执行 sudo grep "^$(whoami):" /etc/shadow 查自己那行，再用 cut -d: -f2 提取第二字段，一眼就能确认。比如输出 $6$SAltValueHere$...，就说明当前密码确实是 SHA-512 哈希。
authconfig --test 只反映系统“意图”，不反映“现状”
在 RHEL/CentOS/Alpine 等系统上，authconfig --test | grep hashing 显示的是 PAM 配置期望使用的算法，但它可能被覆盖、拼错或未生效。
典型误判场景：
- 配置改了，但用户没重设密码 →
/etc/shadow里还是$1$ -
/etc/pam.d/passwd或/etc/pam.d/system-auth里某条pam_unix.so规则漏了sha512参数 -
authconfig和手动编辑 PAM 文件混用，规则优先级冲突
所以 authconfig --test 输出 password hashing algorithm is sha512 ≠ 你当前密码就是 SHA-512。
Debian/Ubuntu 必须查 /etc/pam.d/common-password 中的 pam_unix.so 行
这些系统不用 authconfig，密码哈希行为由 PAM 模块显式控制。关键看这一行是否含 sha512：
password [success=1 default=ignore] pam_unix.so obscure sha512 rounds=65536
注意几个易错点：
- 写成
SHA512（大写）会失效，必须小写sha512 - 缺
rounds=65536不影响算法类型，但强度下降（默认可能只跑 5000 轮） - 该行若被注释、或出现在
[default=bad]分支后，实际不执行
改完需重设密码才生效，否则旧哈希不变。
/etc/login.defs 的 ENCRYPT_METHOD 是兜底 fallback
这个配置项只在 PAM 未明确指定算法时起作用，优先级最低。很多系统即使设了 ENCRYPT_METHOD SHA512，只要 PAM 里写了 md5，新密码仍生成 MD5。
检查方式：
grep "^ENCRYPT_METHOD" /etc/login.defs- 若为空或为
ENCRYPT_METHOD MD5，说明配置缺失或过时 - 但即使它是
SHA512，也不能跳过前面三步验证
真正决定你密码哈希长什么样的，永远是：你改密码那一刻，系统调用的那条 pam_unix.so 规则 + 它带的参数 + 你输入的明文 + 当前 salt 生成逻辑。其他都是纸面承诺。
