清理长期未登录冗余账号核心是“先识别、再冻结、后清理”：须同时满足90天无登录、UID≥1000、shell为nologin/false且shadow密码字段有效三条件；冻结用usermod -s /usr/sbin/nologin并观察日志2天；清理前查进程、挂载、邮件、文件活跃度；归档后userdel -r删除，再手动清sudo、ssh密钥、tmp等残留。
清理长期未登录的冗余用户账号，核心是“先识别、再冻结、后清理”，避免误删系统关键账户或引发服务异常。重点不在删得快，而在判得准、动得稳。
一、精准识别哪些用户真该清
不能只看last或lastlog简单筛选。真正需清理的是同时满足三个条件的账号：
- 90天内无成功登录记录（用
lastlog -b 90，不是last） - UID ≥ 1000（排除
root、syslog、sshd等系统账号） - shell为
/sbin/nologin或/bin/false，且/etc/shadow中密码字段不为*或!（说明曾有有效凭证，非纯占位）
快速筛查命令示例：
lastlog -b 90 | awk '$1 !~ /^(root|sync|shutdown|halt|operator|nobody|daemon)/ && $5 != "Never" {print $1}' | while read u; do [ $(id -u "$u" 2>/dev/null) -ge 1000 ] && grep -qE "^$u:.*nologin|false" /etc/passwd && [ "$(awk -F: -v u="$u" '$1==u {print $2}' /etc/shadow)" != "*" ] && echo "$u"; done二、先冻结，留出观察窗口
锁定比删除更安全。冻结后观察1–2天，确认无服务报错或日志异常：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 禁止登录：
sudo usermod -s /usr/sbin/nologin 用户名（比passwd -l更彻底，防SSH密钥绕过） - 清空定时任务：
sudo crontab -u 用户名 -r - 停用用户级服务：
sudo systemctl --user --machine-id= --scope stop --all 用户名.*或直接sudo loginctl terminate-user 用户名
观察日志：journalctl -u systemd-logind -S "2 days ago" | grep 用户名 和 tail -n 50 /var/log/auth.log，确认无认证失败或服务调用痕迹。
三、清理前必须做的检查项
冻结无异常后，执行清理前务必逐项确认：
- 查进程：
ps -u 用户名 -f或pgrep -u 用户名—— 有则用pkill -u 用户名终止 - 查挂载：
findmnt -U | grep "/home/用户名"—— 若有，先sudo umount /home/用户名 - 查邮件路径：
ls -l /var/{mail,spool/mail}/用户名 2>/dev/null—— 两个位置都可能存邮件 - 查主目录活跃度：
find /home/用户名 -type f -mtime -30 | head -5确认近期无文件访问
四、分步清理与残留扫除
确认无误后，按顺序操作：
- 归档备份（建议保留至少30天）：
sudo tar -czf /backup/用户名_$(date +%Y%m%d).tar.gz /home/用户名 /var/mail/用户名 2>/dev/null - 删除账号及主目录：
sudo userdel -r 用户名 - 手动清理常见残留：
sudo rm -f /var/spool/cron/用户名sudo grep -r "用户名\|%用户名" /etc/sudoers* -l | xargs -r sudo sed -i '/用户名\|%用户名/d'sudo find /root/.ssh/authorized_keys /etc/ssh/authorized_keys* -type f -exec sed -i '/用户名/d' {} + 2>/dev/nullsudo find /tmp /var/tmp -user 用户名 -delete 2>/dev/null
清理后验证：id 用户名（应提示 no such user）、getent passwd 用户名（无输出）、ls -ld /home/用户名（No such file）。
