faillock 命令可直接查看和解除PAM锁定，无需额外软件；--list显示被锁用户，--user查看详情，--reset清空计数并解锁，--unlock仅解禁不重置计数，生产环境推荐--reset。

直接用 faillock 命令就能查锁定状态并解锁，不用装额外软件，系统自带、操作快、不依赖日志轮询。

查看被锁定的用户账号

运行以下命令列出所有当前被 PAM 锁定的用户：

• faillock --list —— 显示所有失败次数超限、尚未自动解锁的用户
• faillock --user username —— 查指定用户详情，含失败次数、最后失败时间、来源 IP 和是否已锁
• 若输出中出现 FAILURES: 5 且 UNLOCK_TIME: 900（15分钟）未过期，说明该用户处于锁定状态

手动解锁单个用户

解锁不是“输对密码就行”，必须用 faillock 主动干预。常用组合如下：

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• faillock --user username --reset —— 最常用：清空失败计数 + 解除锁定，用户可立即重试登录
• faillock --user username --unlock —— 仅解除锁定（不重置计数），适合计数仍存在但需临时放行
• 注意：--reset 和 --unlock 效果不同，生产环境推荐优先用 --reset

批量或紧急场景处理

遇到多个用户被锁或需快速恢复，可按需操作：

• faillock --reset —— 清空所有用户的失败记录（慎用！仅限测试环境或灾备恢复）
• 若 root 被锁，先确认是否启用 silent 参数豁免；否则用其他管理员账号执行 faillock --user root --reset
• 配合日志验证：查 /var/log/secure 或 /var/log/auth.log 中 authentication failure 记录，确认解锁后是否还有新失败条目

补充：区分 PAM 锁定和其他禁用方式

不是所有“登不上”都是 faillock 锁的，先用下面命令快速判断类型：

• passwd -S username —— 输出第二列为 LK 表示被 passwd -l 手动锁；为 PS 但登录失败，则大概率是 PAM 自动锁定
• 若为 LK：用 passwd -u username 解锁
• 若 shell 被设为 /sbin/nologin：用 usermod -s /bin/bash username 恢复