Linux 影子密码关闭详解：pwunconv 命令原理与实战（linux-command 项目）

导读

本文围绕 linux-command 开源仓库中收录的 pwunconv 命令文档展开，系统讲解 Linux 影子密码（Shadow Password）机制的由来、pwunconv 的语法与真实运行效果，并与 pwconv、grpconv/grpunconv 等成对命令及 passwd、chage、useradd 等周边命令串联成完整的用户密码管理知识体系。读完本文，你将掌握在 /etc/passwd 与 /etc/shadow 之间迁移密码的完整操作流程、影子密码的核心安全价值，以及关闭影子密码后如何验证与恢复系统认证体系。

一、pwunconv 命令是什么

pwunconv 是 Linux 系统中用于**关闭用户投影密码（影子密码）**的命令，其功能与 pwconv 恰好相反：它会把密码从 /etc/shadow 文件中重新移回 /etc/passwd 文件里，从而撤销影子密码机制。

根据仓库文档 command/pwunconv.md 的定义：

pwunconv命令 与 pwconv 功能相反，用来关闭用户的投影密码。它会把密码从 shadow 文件内，重回存到 passwd 文件里。

语法非常简单：

pwunconv

命令本身不需要任何选项和参数，执行时通常需要 root 权限（因为涉及对 /etc/shadow 和 /etc/passwd 两个系统认证文件的写操作）。

二、为什么会有影子密码：pwconv 的背景

要理解 pwunconv 的价值，必须先理解它要关闭的"投影密码"机制为何存在。仓库文档 command/pwconv.md 给出了清晰的说明：

Linux 系统里的用户和群组密码，分别存放在名称为 passwd 和 group 的文件中，这两个文件位于 /etc 目录下。因系统运作所需，任何人都得以读取它们，造成安全上的破绽。投影密码将文件内的密码改存在 /etc 目录下的 shadow 和 gshadow 文件内，只允许系统管理者读取，同时把原密码置换为 x 字符，有效的强化了系统的安全性。

核心问题在于：/etc/passwd 文件因为系统运行需要（如 ls -l 需要解析 UID 与用户名映射），必须对所有人开放读取，早期的 Unix 直接把加密后的密码哈希放在该文件的第二字段，任何能读取该文件的用户都可以把哈希值抓下来做离线破解。影子密码机制的解决方案是：

• 加密密码哈希从 /etc/passwd 移到只有 root 可读的 /etc/shadow；
• /etc/passwd 中的密码字段被替换为占位符 x；
• 组密码同理，从 /etc/group 移到 /etc/gshadow（对应 grpconv，参见 command/grpconv.md）。

三、pwunconv 实战：完整关闭流程与验证

仓库文档 command/pwunconv.md 给出了完整可复现的关闭流程，我们逐条拆解并补充验证细节。

3.1 执行关闭操作

假设系统里已存在用户 test，且影子密码处于开启状态。执行：

pwunconv     # 关闭影子密码

命令执行后，系统会更新 /etc/passwd 和 /etc/shadow 两个文件：把 /etc/shadow 中的密码哈希回填到 /etc/passwd 的密码字段，并删除（或清空）影子文件。

3.2 验证一：密码已回到 passwd 文件

cat /etc/passwd | grep test     # 发现密码已经在 passwd 文件中了
test:$6$nYOEWamm$bz07nlv/.RgJufb3FAqJJeULfwybzgxmrWqbk7O4vI0KsT6N.ujrh6dDIUcAJdfjksyuyAFDPIngZeD3cgcf.0:3001:3001::/home/test:/bin/sh

可以看到 /etc/passwd 中 test 用户的密码字段不再是 x 占位符，而是真实存在的密码哈希。这里哈希前缀 $6$ 表明使用的是 SHA-512 加密算法（$1$ 为 MD5、$5$ 为 SHA-256、$6$ 为 SHA-512，此外还有 $y$ 表示 yescrypt 等更新算法）。

作为对照，pwconv 开启影子密码时，同一用户在 /etc/passwd 中的表现是：

cat /etc/passwd | grep test
test:x:3001:3001::/home/test:/bin/sh

密码段显示为 x；而真实的哈希在 /etc/shadow 中：

cat /etc/shadow | grep test
test:$6$nYOEWamm$bz07nlv/.RgJufb3FAqJJeULfwybzgxmrWqbk7O4vI0KsT6N.ujrh6dDIUcAJdfjksyuyAFDPIngZeD3cgcf.0:15022:0:99999:7:::

3.3 验证二：shadow 文件消失

ls /etc/shadow     # 查看影子文件，提示没有这个文件或目录
ls: cannot access /etc/shadow: No such file or directory

执行 pwunconv 后，/etc/shadow 文件不再存在。这也是判断影子密码是否关闭的最直观标志。

四、pwunconv 与 pwconv 的完整对照

命令	作用	密码去向	passwd 密码字段	shadow 文件状态
pwconv	开启影子密码	从 passwd 移到 shadow	变为 x 占位符	存在，仅 root 可读
pwunconv	关闭影子密码	从 shadow 移回 passwd	恢复为真实密码哈希	被移除

• pwconv 方向：test:x:3001:... + /etc/shadow 中的真实哈希，参见 command/pwconv.md 的实例。
• pwunconv 方向：test:$6$... 直接在 passwd 中，/etc/shadow 不存在，参见 command/pwunconv.md 的实例。

五、成对的组密码命令：grpconv 与 grpunconv

影子密码机制不只针对用户，同样适用于组。仓库中收录了对应的成对命令：

• grpconv：开启群组的投影密码，把密码从 /etc/group 移到 /etc/gshadow，密码段以 x 替代，见 command/grpconv.md。其实例：

groupmod --password 123456 cdy
cat /etc/group | grep cdy
cdy:123456:1000:     # 密码明文显示在 group 文件中

grpconv
cat /etc/group | grep cdy
cdy:x:1000:          # 密码段已经被 x 替代
cat /etc/gshadow | grep cdy
cdy:123456::         # 密码已移到影子文件

注意：gshadow、shadow 只有 root 权限才可以查看。

• grpunconv：关闭群组的投影密码，把密码从 gshadow 回存到 group 文件里，见 command/grpunconv.md。其实例：

cat /etc/gshadow | grep cdy
cdy:123456::

grpunconv            # 关闭群组影子密码
cat /etc/gshadow
cat: /etc/gshadow: 没有那个文件或目录

cat /etc/group | grep cdy
cdy:123456:1000:     # 密码已复制回 /etc/group

可以看到 grpunconv 与 pwunconv 的机制完全同构：把密码从影子文件回写到明文文件，并移除影子文件。

六、围绕影子密码的周边命令与文件体系

pwunconv 不是孤立存在的命令，它与整个用户/组认证体系密切相关。仓库中同时收录了这些命令的完整文档，可相互印证：

6.1 认证相关的四个核心文件

根据 command/passwd.md 的"知识扩展"，与用户、组账户信息相关的文件为：

• 存放用户信息：/etc/passwd、/etc/shadow
• 存放组信息：/etc/group、/etc/gshadow

/etc/passwd 每项用 : 隔开，例如 jack:X:503:504:::/home/jack/:/bin/bash，含义依次为：用户名、口令（密码）、用户 ID（0 代表 root，普通新建用户通常从 500 开始）、所在组、描述、用户主目录、用户缺省 Shell。pwunconv 所做的，就是让"口令"这一字段从影子文件恢复为真实值。

6.2 passwd：密码的日常管理入口

• 普通用户执行 passwd 只能修改自己的密码；管理员可用 passwd 用户名 为指定用户设置或修改密码；
• 支持 -d（删除密码）、-l（锁定密码）、-u（解锁）、-S（查看密码状态）等选项，详见 command/passwd.md；
• 注意：清除用户密码后，登录时无需密码即可进入，存在安全风险。

6.3 chage：密码有效期策略

chage 用于修改帐号和密码的有效期限，常用选项包括 -M（密码最大有效天数）、-m（最小可更改天数）、-w（过期前警告天数）、-I（过期后停滞天数）、-E（帐号到期日期）、-l（列出当前设置），详见 command/chage.md。这些字段正是 /etc/shadow 中冒号分隔的第 3～8 个字段，与影子密码文件结构深度绑定。

6.4 其他配套命令

• useradd：创建新用户，密码默认是禁用的，需配合 passwd 设置；-p 可传入 crypt(3) 返回的加密密码；相关文件包括 /etc/passwd、/etc/shadow、/etc/group、/etc/gshadow、/etc/default/useradd、/etc/login.defs 等，详见 command/useradd.md；
• groupmod：修改组定义（GID、组名、组成员、组密码），-p 选项可设置组密码密文，直接作用于 /etc/group 与 /etc/gshadow，详见 command/groupmod.md；
• gpasswd：工作组文件管理工具，管理 /etc/group 和 /etc/gshadow，支持 -a（添加用户到组）、-A（指定管理员）、-r（删除组密码）等选项，详见 command/gpasswd.md；
• pwck：验证 /etc/passwd 和 /etc/shadow 内容与格式的完整性，-q 仅报告错误、-s 按 UID 排序、-r 只读运行，详见 command/pwck.md。执行 pwunconv 或 pwconv 之后，用 pwck 做一次一致性校验是良好的运维习惯。

七、实战注意事项

1. 权限要求：pwunconv 需要 root 权限执行，因为它要改写系统认证文件；普通用户执行会因权限不足而失败。
2. 安全权衡：关闭影子密码会把密码哈希写回人人可读的 /etc/passwd，相当于放弃了影子密码机制带来的安全隔离，仅在明确了解风险的前提下使用（例如老系统迁移、某些第三方工具需要明文密码字段等场景）。
3. 操作后可验证：执行后用 grep 检查 /etc/passwd 中密码字段是否为真实哈希，并用 ls /etc/shadow 确认影子文件是否已移除，与本文实例中的输出对照即可。
4. 组密码同理：如果同时需要关闭组影子密码，对应执行 grpunconv；开启则用 grpconv。整个体系以"用户 ↔ passwd/shadow、组 ↔ group/gshadow"两条线成对出现。
5. 完整性校验：操作前后可执行 pwck 验证认证文件格式完整，避免因文件损坏导致系统无法登录。

结语

pwunconv 是影子密码体系中的"反向开关"，与 pwconv、grpconv、grpunconv 共同构成了 Linux 密码存储位置迁移的完整工具集。理解它，就是理解 /etc/passwd、/etc/shadow、/etc/group、/etc/gshadow 四个认证文件之间的关系与安全设计初衷。相关命令的完整说明与更多实例，可继续查阅仓库中 command/pwconv.md、command/grpconv.md、command/grpunconv.md、command/passwd.md、command/chage.md 等文档。