chage命令用于管理linux用户密码过期策略，通过设置密码生命周期参数提升系统安全性；2. 使用chage -l查看用户密码策略，如最后修改时间、过期时间等；3. 通过chage -m设置密码最长使用天数（如90天），-m设置最短使用天数（如7天），-w设置到期前提醒天数（如7天），-i设置过期后宽限期（如14天），-e设置账户整体过期日期（如2025-12-31），-d重置密码最后修改日期；4. 批量配置新用户默认策略需修改/etc/login.defs中的pass_max_days、pass_min_days和pass_warn_age参数；5. 推荐安全策略为：-m 7 -m 90 -w 7 -i 14，临时用户额外设置-e指定账户失效时间；6. 可编写脚本结合chage -l或passwd -s定期检查即将过期的账户，实现自动化维护；综上，合理使用chage命令结合系统配置可有效管理用户密码生命周期，平衡安全与可用性。
在 Linux 系统中，
chage命令是管理用户密码过期策略的核心工具之一。通过合理设置密码策略，可以增强系统安全性，防止弱密码长期使用或账户被长期闲置后滥用。以下是关于如何使用
chage设置用户密码策略和管理密码过期时间的详细说明。
一、chage 命令基本功能
chage（change age）用于查看和修改用户密码的过期信息。它直接影响
/etc/shadow文件中的密码生命周期字段。
常用选项包括：
-l
：列出指定用户的密码过期信息-d
：设置密码最后一次修改的日期（YYYY-MM-DD 或天数）-E
：设置账户过期日期（YYYY-MM-DD）-m
：密码最短使用天数（修改间隔最小天数）-m
：密码最长使用天数（有效期）-W
：密码到期前提前警告天数-I
：密码过期后进入宽限期（inactivity period），之后账户锁定
二、查看当前用户密码策略
chage -l username
例如查看用户
alice的密码策略：
chage -l alice
输出示例：
Last password change : Feb 10, 2025 Password expires : May 11, 2025 Password inactive : never Account expires : never Minimum number of days between password change : 7 Maximum number of days between password change : 90 Number of days of warning before password expires : 7
三、设置密码过期策略的常用方法
1. 设置密码最长有效期（强制定期改密）
限制用户每 90 天必须修改一次密码：
chage -M 90 username
2. 设置密码最短使用天数
防止用户频繁修改密码“绕过”策略，例如至少 7 天才能改一次：
chage -m 7 username
3. 设置密码到期前的警告天数
提前 7 天提醒用户密码即将过期：
chage -W 7 username
4. 设置密码过期后的宽限期（账户锁定前的缓冲期）
密码过期后，允许用户在登录时立即修改密码的“宽限期”。若超过该期限未改，则账户被禁用：
chage -I 14 username
表示密码过期后 14 天内仍可登录并强制改密，超过 14 天账户将被锁定。
5. 设置账户整体过期时间（账户失效时间）
无论密码状态如何，账户在指定日期后无法登录：
chage -E 2025-12-31 username
也可用天数（自1970年1月1日起）：
chage -E 19720 alice # 例如：2024-01-01
6. 设置密码最后修改日期（用于初始化或重置策略）
例如将某用户密码“最后修改时间”设为今天，用于启动密码有效期计算：
chage -d $(date +%Y-%m-%d) username
四、批量设置默认密码策略（适用于新用户）
修改系统默认值，可通过编辑
/etc/login.defs文件：
sudo vim /etc/login.defs
关键参数：
PASS_MAX_DAYS 90 PASS_MIN_DAYS 7 PASS_WARN_AGE 7
这些设置会影响后续使用
useradd创建的用户。
注意：已有用户不会自动应用这些设置，需手动用 chage 修改。
五、实战建议：推荐的安全密码策略
对于普通用户，建议配置如下：
- 密码最短使用天数：7 天
- 密码最长使用天数：90 天
- 到期前提前 7 天警告
- 过期后 14 天内可改密（宽限期）
- 账户永久有效（除非临时用户）
命令示例：
chage -m 7 -M 90 -W 7 -I 14 username
对于临时用户（如外包人员），可设置账户过期：
chage -E 2025-06-30 tempuser
六、自动化检查与维护
可编写脚本定期检查即将过期的账户：
#!/bin/bash
for user in $(awk -F: '$7=="" || $7>"100000" {print $1}' /etc/shadow); do
chage -l $user | grep "Password expires"
done或使用
passwd -S辅助查看状态。
基本上就这些。
chage是管理 Linux 用户密码生命周期最直接有效的工具，结合
/etc/login.defs和 PAM 模块可实现更复杂的策略。关键是根据组织安全策略合理设定参数，避免过于严苛影响使用，也防止过于宽松带来风险。
