简介面向银河麒麟桌面操作系统V10(sp1)用户的密码恢复操作手册专为忘记登录密码、无法正常进入系统的场景编写同时覆盖X86架构与arm架构通用性强。手册按章节组织先概述适用环境再以图文步骤呈现具体操作从启动主机进入GRUB界面编辑启动项并追加指定参数进入单用户模式后使用passwd命令重置密码最后通过reboot -f或CtrlAltDelete组合键强制重启使新密码生效。其中对按键响应、黑屏等待等细节也有注释说明可帮助读者避免常见操作误区。资源包共1个文件类型为PDF文档大小327KB便于离线查阅或打印。目前已有1024人学习下载。读者可借此掌握在GRUB环境下进行系统维护和修复的实用技能不仅解决密码重置的即时需求也为后续系统排障打下基础适合普通用户与运维人员参考。1. 银河麒麟桌面V10(sp1)用户密码被锁死单用户模式就是那粒后悔药当你在银河麒麟桌面V10(sp1)的登录界面反复输入密码却只看到“密码错误”或者干脆被系统提示“账户已锁定”时第一反应往往是重装系统。但重装意味着桌面配置、已装软件、数据文件全部重来。其实银河麒麟基于Linux内核保留了单用户模式这个最原始的恢复入口——进去之后用 passwd 命令重置密码再走一遍重启流程就能正常登录。我经常在给用户处理系统安全问题时靠这个方案在几分钟内找回密码不需要安装介质也不需要格式化磁盘。接下来就按“启动流程 → 参数修改 → passwd命令 → 重启验证”这条线把每一步操作和踩过的坑都讲清楚。2. 进入单用户模式前必须搞清的启动流程GRUB菜单与内核参数2.1 银河麒麟V10(sp1)的GRUB启动菜单与倒计时重启前先确认你的机器是UEFI引导还是Legacy BIOS引导。银河麒麟桌面V10(sp1)默认安装时通常使用GRUB2作为引导管理器。开机后屏幕会出现银河麒麟logo下方有一个倒计时进度条那是GRUB菜单在等待你按快捷键。如果你没看到任何菜单多半是因为开机时间太快或被autoboot模式跳过了。常见做法是在开机自检完成、屏幕上刚出现logo时就开始连按上下方向键或者在键盘上猛击 Esc 或 Shift 键直到出现GRUB启动菜单。菜单上一般有多个条目默认的“银河麒麟桌面版”内核启动项以及“高级选项”子菜单。注意我们要修改的是当前使用的内核条目不要选恢复模式recovery mode——虽然recovery选项也能进入部分单用户功能但在V10(sp1)上经常因为服务加载顺序导致文件系统只读反而不利于用passwd命令。选好条目后按下键盘上的 e 键进入编辑界面这是进入单用户模式的关键入口。还要留意你的磁盘是否开启LUKS加密。银河麒麟桌面版在安装时可以选择加密磁盘一旦选择开机时会出现“请解锁磁盘密码”的界面。单用户模式不能绕过这个界面如果忘记了解锁密码下面所有命令都执行不了。这种情况只能通过LUKS恢复密钥或者备份文件自救属于另一个独立问题。所以执行操作前先确认机器没有开启磁盘加密或者你手里有恢复密钥。2.2 用 e 键修改启动参数从 ro 到 rw init/bin/bash进入GRUB编辑界面后你会看到一大堆行包括以 linux 开头的内核命令行和 initrd 开头的初始化镜像。我们需要关注的是 linux 那一行行内包含类似 vmlinuz-... rootUUID... ro quiet splash 这样的参数。这里的 ro 表示内核将以只读方式挂载根文件系统这在正常启动时是安全策略但在单用户模式下会阻止我们对系统目录写入。修改方法是把光标移到 ro 上改成 rw然后在行尾追加 init/bin/bash。额外提醒quiet splash 建议删掉让内核输出详细启动日志方便判断卡在哪个环节。如果在笔记本或虚拟机上操作可能还需要处理 nomodeset 参数但非必须。# 示例修改后的 linux 行实际UUID以机器为准 linux /vmlinuz-4.19.90-2106.4.0.0173.ky10.x86_64 rootUUIDxxxx rw init/bin/bash说明把 ro 改成 rw 是让内核把根分区直接以可读写方式挂载省去后面手动 mount 的步骤加 init/bin/bash 是让内核跳过systemd直接用bash作为第一个程序运行。这样启动后会得到一个root shell不要求输入密码。UUID 是根分区标识不同机器不一样不要手动改它。quiet splash 参数删除是因为单用户模式下不需要保留图形界面日志反而会掩盖错误。提示如果你的系统启用了LUKS磁盘加密开机阶段会先停在“请解锁磁盘密码”界面。这个密码不是用户密码而是安装时设置的加密口令单用户模式无法绕过。3. 单用户模式下用 passwd 命令改密码命令参数与语法3.1 挂载根文件系统为什么先敲 mount -o remount,rw /进入bash后首要任务是确认根文件系统是否可写。即使我们在GRUB里将参数改成了rw部分UEFI平台或内核版本仍会因为ACPI或驱动问题以只读方式挂载。先敲 mount | grep / 看根分区的挂载选项输出中若包含 ro则必须重新挂载。这一步的代价很低但很多人会跳过它直接在只读状态下执行passwd然后得到 “cannot change password” 或无权限的提示。# 查看根分区挂载状态 mount | grep / # 如果当前状态为 ro重新以可读写方式挂载 mount -o remount,rw / # 验证可写性 touch /test echo writable说明mount -o remount,rw / 不会重新读取文件系统只是改变已有挂载点的读写标志不影响已经挂载的 /proc、/sys 等伪文件系统。touch /test 是一条验证命令创建成功说明根分区可写。如果 touch 失败先检查磁盘是否已满、是否处于只读状态。验证完成后记得删除 /test 文件。这就是那种不起眼却能把人卡半小时的细节——我之前在只读状态下直接跑 passwd被它折腾到怀疑系统坏了。3.2 passwd 命令修改用户密码与强制过期文件系统可写后passwd 命令就可以直接使用了。修改root密码是 passwd root修改普通用户是 passwd kylin这里的 kylin 是银河麒麟默认创建的第一个普通用户名也可能是你的自定义用户名。执行后输入两次新密码。需要注意银河麒麟桌面V10(sp1)的密码复杂度策略由 /etc/security/pwquality.conf 控制默认要求至少8位且包含大写字母、小写字母、数字或特殊字符中至少三类。若密码不符合要求系统会显示 BAD PASSWORD但仍会询问是否继续。一旦你说 yes 并重启后续登录时会发现图形界面不允许使用该密码这就是典型的“改了个假密码”。# 修改普通用户 kylin 的密码 passwd kylin # 强制用户下次登录时修改密码 passwd -e kylin # 查看用户密码状态 passwd -S kylin参数说明passwd -e 等价于 chage -d 0会把上次密码修改时间变成1970年使密码立即过期用户在下次登录时必须先设置新密码。passwd -S 输出状态信息LK 表示锁定P 表示有可用密码NP 表示无密码。此外如果之前因为多次输错被pam_faillock锁定直接运行 passwd 用户名 本身就会重置密码并解除锁定不需要额外 unlock 命令但为了保险可以运行 passwd -u 用户名 再确认一次。3.3 touch /.autorelabel 在SELinux下的作用银河麒麟桌面V10(sp1)默认安装时通常不启用SELinux但很多政企安全基线会要求开启。在启用SELinux的机器上/etc/shadow 文件的安全上下文必须是 shadow_t单用户模式通过内核参数启动跳过了 systemd 的 SELinux 初始化流程可能导致修改后的 shadow 文件上下文被重置或缺失。重启后就会出现能验证密码但无法正常启动会话的怪象。# 在修改完密码后创建自动重标记标记文件 touch /.autorelabel # 查看 SELinux 当前模式确认是否需要 getenforce说明touch /.autorelabel 的作用是告诉内核在下次启动时对整个文件系统执行 SELinux 自动重新标记确保所有文件上下文都正确。这会让第一次重启明显变慢机械硬盘上可能耗时十几分钟。如果 getenforce 输出 Disabled则无需此文件如果输出 Enforcing 或 Permissive建议创建。Permissive 模式下创建也无妨只是多花一次重启时间。4. 修改后的系统重启流程复位、退出与正常登录4.1 执行 sync 与 reboot 的注意事项改完密码后不要直接按电源键也不要直接按 CtrlAltDel。单用户模式下 PID 1 是 bash而不是 systemd没有正常关机流程。如果直接重启内存中未落盘的数据可能丢失甚至造成根文件系统日志不一致。严谨的顺序是先 sync然后重新挂载为只读再强制重启。# 将缓存写入磁盘 sync # 将根分区重新设置为只读确保后续重启时文件系统干净 mount -o remount,ro / # 强制重启 reboot -f参数说明reboot -f 意味着跳过 init 流程直接调用内核 reboot 系统调用。有的 UEFI 固件这里会卡住如果 30 秒内显示器没有变化就手动关机再开机。mount -o remount,ro / 的作用是防止 reboot 过程中对文件系统的写入让日志系统在下次启动时快速恢复。如果 remount 提示繁忙说明仍有进程在写可以忽略执行 sync 后 reboot -f 即可Linux 在重启时也会做最终同步。提示不要随便敲 init 6。单用户模式下没有systemd接管init 6 会提示找不到命令或直接挂起远不如 reboot -f 可靠。4.2 普通用户与root密码修改后的验证方法重启完成后回到银河麒麟桌面登录界面先在图形界面输入一次新密码。但不要只依赖这一次验证我习惯切换到文本终端做二次确认。按 CtrlAltF2或F3-F6进入 tty输入用户名和密码登录成功后用 whoami 和 passwd -S 确认。# 在文本终端登录后查看当前身份 whoami # 查看当前用户密码状态 passwd -S说明文本终端的错误信息比图形界面更直白。如果 tty 能登录但图形界面不能说明密码本身没问题问题出在 Gnome 会话或者 keyring 上可以去 /var/log/lightdm/ 或者 ~/.xsession-errors 里找具体日志。如果 tty 也不能登录先确认是不是密码大小写、键盘布局的问题再检查 /etc/shadow 中该用户的密码字段是否以 $6$ 开头且不是 ! 开头。另外如果修改的是 root 密码请先确认 sshd 是否允许 root 登录否则局域网内 SSH 验证没有意义。5. 单用户模式改密码的避坑指南5个典型翻车现场5.1 现象启动卡在光标闪烁原因没改 ro 为 rw现象按 e 编辑后只加了 init/bin/bash但遗漏了 ro 改 rw。启动过程中屏幕停留在左上角光标闪烁bash 迟迟不出现。原因内核以只读方式挂载根文件系统后bash 在启动初始化时会尝试写 /tmp 等目录失败导致挂起。解决重新启动进入GRUB编辑界面确认 linux 行里的 ro 改成 rw如果当前已经卡死直接按住电源键强制关机再来。因为此时还没有进入bash无法通过命令挽救。5.2 现象报错 mount: / is busy原因SELinux策略或systemd残留现象执行 mount -o remount,rw / 时提示 / is busy无法重挂。原因单用户模式下没有systemd但因为启动参数继承了 initrd 阶段的部分状态或者某些进程仍持有根目录引用。解决先执行 sync然后卸载或忽略。另一个常见原因是SELinux的策略阻止重挂载此时可以先 setenforce 0 再挂载。# 在SELinux模式下临时关闭强制 setenforce 0 mount -o remount,rw /注意改完密码后恢复 SELinux 强制模式setenforce 1。如果担心这条命令影响系统先看 getenforce 确认当前模式。5.3 现象passwd 修改成功但登录仍失败原因密码复杂度策略或账户锁定现象passwd 输出成功但重启后用新密码登录始终报错。原因一密码策略不满足pwquality 模块在后台拒绝原因二账户被 pam_faillock 锁定passwd 重置密码并不会自动清空失败计数。解决重新进入单用户模式执行 passwd -u 用户名 解锁同时检查 /etc/security/pwquality.conf 里的 minlen。另外注意键盘布局银河麒麟在单用户模式下使用的是默认英文键盘如果原系统设置为中文键盘或法语键盘密码中的特殊字符位置会不同输入时容易莫名其妙错误。这就是为什么建议密码中先不要放依赖键盘布局的特殊字符。5.4 现象重启后桌面环境起不来原因autorelabel 没执行现象SELinux enforcing 系统上改完密码后重启系统能启动但登录桌面时循环回到登录界面或卡在壁纸无法进入会话。原因/etc/shadow 的 SELinux 上下文异常用户会话无法读取密码数据库。解决再次进入单用户模式执行 touch /.autorelabel 后重启等待系统重新标记所有文件。标记期间屏幕会显示类似 “Warning: /etc/shadow invalid context” 的提示不要中断。如果两次重启无效检查 /var/log/audit/audit.log 中是否有 avc denied 记录可能需要调整策略模块。5.5 现象单用户模式下键盘失效或功能键异常原因USB驱动初始化不完整现象进入bash后按回车没有反应或方向键变成乱码但主机其实已经启动。原因init/bin/bash 跳过了udevUSB HID 驱动未能初始化。解决优先使用PS/2键盘没有PS/2口时在GRUB的linux行追加 rd.shell 并使用串口console。还有一个笨办法用带触摸板或内置键盘的笔记本部分笔记本的键盘走PS/2通道USB触摸板失效但不影响输入。这个坑在商用台式机上很常见建议运维直接配一根PS/2键鼠线放机柜备用。6. 让密码修改更稳的进阶技巧锁定策略、紧急逃生账号与验证6.1 用 chage 命令设置密码老化并验证修改结果单纯用 passwd 改密码只解决当下问题如果需要的是符合等保要求的密码周期管理还要用 chage。chage -l 用户名 显示到期信息chage -M 90 用户名 把密码有效期设为90天chage -W 7 用户名 提前7天提醒。这是给政企用户做完密码恢复后必做的事情否则过几个月又会在登录界面遇到“密码已过期”的困惑。6.2 保留一个可用sudo用户的备选方案单用户模式很强但它需要物理访问。对于不在手边的服务器我建议在系统里常驻一个可用的本地管理员账户。创建后把它加入sudo组并设置一个复杂密码存入密码保险箱。这样即使日常账户密码丢了也可以通过该账户远程登录并用 sudo passwd 重置完全不需要跑机房。这个账户平时不登录桌面只用于管理能显著降低账号全丢的风险。6.3 修改密码前后对比 /etc/shadow 字段最后给一个实用验证技巧。改完密码后 grep 用户名 /etc/shadow观察密码哈希前缀。如果之前是 ! 开头说明是锁定状态改成功后应变成 $6$SHA-512或 $y$yescrypt。数字签名部分会完全变化即使你设置了相同的明文密码哈希也不一样因为加入了随机盐。如果字段仍是 ! 或 *说明账户没有可用密码或仍锁定。建议在单用户模式改完密码后顺手执行 stat /etc/shadow 查看修改时间确认文件确实被写入。这是我多年操作下来的习惯能帮你绕过不少莫名其妙的重启问题。希望这份指南能帮到你。本文还有配套的精品资源点击获取