简介：《银河麒麟桌面V10(sp1)用户密码修改指南》是一份面向系统个人用户与运维人员的应急实操手册，专门解决忘记登录密码后无法正常进入系统的问题。内容覆盖X86与ARM双架构，从启动主机进入grub界面讲起，给出在linux行末添加“init=/bin/bash console=tty0”参数、用Ctrl+X或F10进入单用户模式、再通过passwd命令重置指定用户密码（如kylin），并以reboot -f或Ctrl+Alt+Delete完成强制重启的完整流程。每个步骤均配有界面标识和注意事项，例如进入单用户模式后黑屏属正常现象，可避免操作误区。资源为1个PDF文档，大小仅327KB，全文约4页，结构清晰，便于打印或移动端查阅。已有1007人学习下载，适合刚接触麒麟系统、需要应急恢复密码或希望掌握grub环境基础维护能力的读者。
1. 项目背景与需求分析
1.1 为什么需要单用户模式修改密码
国产操作系统这些年普及速度非常快，银河麒麟桌面版V10(sp1)在政务、金融、教育等行业已经成了日常办公的主力系统。但在实际使用过程中，我接触到最多的求助场景就是：用户忘了自己的登录密码。可能是一个月没换过密码的老员工，也可能是刚部署完系统、初始密码被随手改掉的新机器，还有可能是密码策略强制到期后用户完全记不起自己改成了什么。
这类问题听起来简单，真处理起来却有不少细节。如果你手头有root权限，直接在终端里执行一条passwd命令就能完成修改。可问题恰恰就在于——登录系统的密码都忘了，root密码大概率也被一起遗忘，此时常规渠道根本进不了系统。要解决这个问题，就必须绕过正常的登录流程，进入一种不依赖账户密码认证的特殊维护模式，也就是我们常说的单用户模式。
所谓单用户模式，本质上是Linux系统的一种最小化运行环境。它只加载最基本的文件系统和内核模块，不启动图形化界面，不做多用户登录验证，开机后直接给你一个root身份的shell。在这个环境里，系统的一切文件都对你敞开，密码修改自然就成了最简单的文件操作之一。
这是在纯Linux内核基础架构上运行的操作系统共有的能力，银河麒麟V10虽然做了大量桌面化和国产化适配，但底层机制仍然遵守这一套标准流程。因此，本文的方法对银河麒麟V10(sp1)、V10其他小版本以及部分同源系统都适用。
1.2 与其他密码重置方案的对比
有人可能会问：既然LiveCD也能改密码，为什么非要折腾单用户模式？这个问题的答案其实很现实。LiveCD确实可行，但它要求你手边有一个能启动的Live系统镜像盘，还要熟悉chroot操作，整个过程至少要重启两三次。而单用户模式完全不需要额外介质，只要机器能开机、能看到GRUB引导菜单，就能完成操作。
再举一个真实案例。之前有台银河麒麟V10(sp1)的商用台式机，用户密码到期后连续试错多次，导致账号被锁定，系统提示account locked, 18620 days left。这种锁定策略其实是账号过期时间被无限延长的表现，不改/etc/shadow里的过期字段，干等一辈子也等不到解锁。这种情况下单用户模式就成了最直接的解法——进去之后不仅能把密码改掉，还能顺手把账号过期的标记清掉。
从安全性角度来看，单用户模式虽然需要物理接触机器，但正因为这一点，它也常被用来做系统紧急救援。无论是修/etc/fstab写错导致的启动失败，还是排查SELinux上下文错乱引发的登录异常，单用户模式都是运维人员最趁手的应急工具之一。
1.3 动手前的风险评估与准备工作
在正式操作前，有几个准备工作能帮你避免不必要的麻烦。
第一，确认是否需要保留现有数据。修改密码本身不会动用户数据，但在操作过程中如果误改内核参数、误挂载分区，或者不小心在SELinux标签上做了错误调整，都可能导致系统无法正常启动。所以如果机器里有重要业务数据，建议先想清楚应急回退方案。
第二，关闭远程连接，改为物理控制台操作。单用户模式的操作必须在机器本体的键盘显示器前完成。如果你是通过SSH远程连接执行的，一旦进入重启流程，连接就会立即断开，后续所有步骤都无法进行。
第三，了解机器的引导方式。银河麒麟V10默认使用GRUB2引导，但部分预装机器开启了快速启动，开机时根本不给看引导菜单的机会。这种情况下需要先在BIOS/UEFI里暂时关闭快速启动，或者重启时连续按Esc/Shift键把引导菜单唤出来。
2. 密码重置全流程实操记录
2.1 重启并进入GRUB引导界面
一切准备工作完成后，就可以开始正式操作了。在终端中执行：
sudo reboot机器重启后，关键在于抓住GRUB引导菜单出现的那几秒窗口。银河麒麟V10默认的GRUB等待时间通常很短，甚至在某些定制版本中直接跳过菜单。最稳妥的办法是从重启那一瞬间开始，用右手食指连续点按键盘上的Esc键或Shift键，直到引导菜单出现。
引导菜单通常长这样：一个蓝灰色界面上列着几个启动条目，一般第一个是默认系统，下面可能还有高级选项（Advanced options for 银河麒麟）等子菜单。这里有一个小技巧：如果你的机器上装了多个系统或多个内核版本，尽量选择与当前系统匹配的默认内核启动项，避免选错内核导致后续驱动不匹配的问题。
2.2 修改内核启动参数
进入引导菜单后，找到默认启动条目，按下键盘上的e键，进入GRUB编辑界面。这个界面里可以看到以linux开头的一长串内核引导参数。
在这一行末尾追加参数，有两种可行方案：
single：直接进入单用户模式，传统且兼容性好；init=/bin/bash：跳过init进程，直接启动一个bash shell，适合某些特殊场景。
我在银河麒麟V10(sp1)上实测，single参数最为可靠。操作方式是：用方向键把光标移动到linux那一行末尾，按空格，然后输入single，确认参数之间已经有空格隔开。
这里要特别提醒一个细节：改完参数后千万不要按回车。GRUB编辑界面中，回车默认是执行当前高亮条目，真正保存改动并启动的快捷键是Ctrl + X或F10。按完这个组合键后，系统会带着single参数启动，屏幕上开始滚动大量内核日志，最终停在一个root提示符下，形如：
[root@localhost ~]#看到这个提示符，说明已经成功进入单用户模式。
2.3 确认文件系统挂载状态并执行密码修改
进入单用户模式后，第一件事不要急着改密码。先确认根文件系统是以可写方式挂载的。
在有些系统配置下，单用户模式默认以只读方式挂载根分区。如果在只读状态下直接执行passwd，你会看到类似如下报错：
passwd: Authentication token manipulation error passwd: password unchanged解决方法是重新以读写方式挂载根文件系统：
mount -o remount,rw /执行完后可以用mount | grep " / "检查挂载状态，确认输出中有rw字样。这一步看似不起眼，但很多人第一次操作就栽在这里。
之后修改指定用户的密码，以普通用户user01为例：
passwd user01系统会要求输入两次新密码。输入时终端不回显字符，这是正常现象，不要误以为键盘失灵。如果修改的是root密码，直接执行passwd root即可。
这里还要说一个比较容易被忽略的问题：银河麒麟V10默认的密码复杂度策略。该策略要求密码至少8位、必须包含大小写字母和数字、不能与用户名相同或相似。如果你设置的密码太简单，passwd命令同样会报错。建议直接按“大写字母+小写字母+数字+特殊符号”的组合来设，一次通过。
2.4 检查SELinux状态与重启验证
密码修改完成后，不要急着重启。我先教你一个重要的安全习惯：检查SELinux是否处于强制模式。
getenforce如果输出是Enforcing，说明系统开启了SELinux强制策略。此时你刚才修改的密码文件/etc/shadow可能会被SELinux标记为新的安全上下文。虽然passwd命令本身会调用正确的工具去更新文件，理论上标签不会有问题，但为了稳妥，建议在重启前先执行一次文件系统重打标签：
touch /.autorelabel这个操作会在下次重启时自动对根文件系统执行SELinux标签修复，避免因为上下文错误导致用户无法登录。
完成这些后，执行：
reboot重启后，在登录界面输入刚设置的新密码，应该就能顺利进入桌面环境。整个流程下来，快的话三分钟，慢的话五分钟，比重新安装系统不知道快了多少倍。
3. 实操中的高频踩坑与原因分析
3.1 字符界面不刷新：看着没生效，其实已经改好了
这是我在多个群里看到新手反复提问最多的问题。在单用户模式下执行passwd user01后，终端会提示输入新密码。但很多人在键盘上敲了一串密码后发现屏幕上什么都没变，还是停留在原来的提示符，就以为命令失败了。
实际原因是：单用户模式下的终端直接使用内核的早期控制台，屏幕上不会回显任何输入字符，也不刷新提示。你看到的界面停留在输入前的状态，但命令其实已经在执行了。正确做法是：盲打输入第一遍密码后按回车，再盲打输入第二遍，按回车，等命令返回，然后执行cat /etc/shadow查看对应用户行是否以$6$或$5$开头。只要看到有新的哈希串，说明密码已经改成功。
3.2 密码策略导致修改失败
银河麒麟V10的PAM配置中启用了pwquality密码质量模块。这个模块会强制检查密码的复杂程度。如果你设置的密码过于简单，会出现：
You must choose a longer password或者最常见的：
passwd: Authentication token manipulation error很多人一看到Authentication token manipulation error就以为是系统故障，其实更多时候是密码不合规。解决方法是设置一个满足复杂度要求的新密码，或者临时调整/etc/security/pwquality.conf中的策略参数（不建议生产环境随意关闭密码策略）。正规做法是设置合规密码，而不是削弱安全策略。
3.3 账号锁定与过期时间的处理
如果你遇到的是账号被锁的情况，比如开机提示account locked, 18620 days left，光改密码还不够。这是因为/etc/shadow中该用户的account expiry字段被设置成了一个遥远的时间点。进入单用户模式后，除了执行passwd修改密码，还需要清除这个过期字段：
chage -E -1 user01这条命令将账号过期日期设置为永久。执行完后可以再用：
chage -l user01检查输出中是否显示Account expires : never。在实际处理中，这一步和改密码一样重要，漏掉任何一个环节都可能让用户依旧登录不了。
3.4 重启后卡在logo界面或黑屏
如果修改完密码重启后发现系统卡在银河麒麟logo界面，或者直接进入黑屏，大概率不是密码改坏了，而是内核启动参数或文件系统出了问题。排查思路有几条：
- 重启时进入GRUB，再次添加
single参数进入单用户模式； - 检查
/etc/fstab是否有非必要条目写错； - 查看
/var/log/messages或dmesg输出，定位挂在哪个服务或挂载点。
如果是在桌面环境下修改了/etc/profile之类的全局配置文件导致的卡登录界面，也可以进入单用户模式把改错的行注释掉。这类问题的处理逻辑和密码修改同源，掌握单用户模式的进入方法就等于掌握了系统救援的万能钥匙。
4. 问题排查与避坑速查表
在长期处理银河麒麟运维问题的过程中，我积累了一些操作习惯，这里整理成速查表，方便你实际操作时对照使用。
| 现象 | 原因 | 解决方案 |
|---|---|---|
| 进入单用户模式后无法写文件 | 根文件系统以只读方式挂载 | 执行mount -o remount,rw / |
passwd报Authentication token manipulation error | 密码不符合复杂度策略 | 设置8位以上同时包含大小写、数字和特殊字符的新密码 |
提示account locked, 18620 days left | 账号过期时间被延长 | 执行chage -E -1清除过期字段 |
| 修改密码后重启无法登录 | SELinux标签异常或密码策略阻断 | 执行touch /.autorelabel，重启等待relabel完成 |
| 输入密码时界面无回显 | 早期终端特性，正常现象 | 盲打后按回车，用cat /etc/shadow验证结果 |
| GRUB菜单一闪而过 | 快速启动或等待时间太短 | 重启时连续按Esc或Shift键，在BIOS中关闭快速启动 |
除了这张表，我再分享几个排查思维方式。
第一，单用户模式下的命令提示符不会自动刷新。你需要学会盲打并相信命令逻辑，而不是依赖屏幕反馈。有个实用的习惯是可以先执行echo "test" > /tmp/test检查文件系统可写状态。
第二，尽量使用绝对路径执行命令。单用户模式下PATH环境变量可能不完整，直接输入passwd有时会提示命令找不到。遇到这种情况，使用/usr/bin/passwd或/bin/passwd替代。
第三，如果系统完全没有反应，优先怀疑引导参数是否写错。内核参数之间必须有空格分隔，拼写错误可能导致内核直接panic。碰到这种情况，回到GRUB重新编辑，对照参考文档逐字检查。
5. 单用户模式的安全边界与运维建议
5.1 密码策略与账号安全习惯
处理完密码问题后，我通常建议用户在业务环境里执行一轮密码健康度检查。方法是在终端中执行：
chage -l 用户名重点看输出中的如下几项：密码最近修改时间、密码到期时间、账号过期时间、两次修改密码的最小间隔天数。合理的配置应该保证密码有固定更换周期，账号过期时间不能是遥远的天数（除非有明确业务需求）。
一些系统管理员为了让用户不再忘记密码，会把密码过期时间设得特别长，甚至直接chage -M 99999。这种做法虽然省事，但安全隐患极大。尤其是银河麒麟V10经常用于处理敏感业务的场景，密码长期不变、复杂度不够，等于给攻击者敞开了大门。
我个人建议在部署阶段就做好密码策略的初始化：
- 使用
chage -M 90强制90天更换一次密码； - 使用
chage -m 1设置密码最小修改间隔为1天； - 使用
passwd -n 1限制用户不能连续改回相同密码； - 要求密码至少8位，包含大小写字母、数字和特殊符号。
这些配置既保证了安全性，又不会给日常使用带来太多困扰。
5.2 系统重启流程的规范化
单用户模式的整个操作过程中，系统重启是最后一个环节，也是最容易出现差错的环节。有几次我在给别人远程指导时发现，执行完reboot后，机器一直停在“正在关闭服务”的界面，一等就是十几分钟。原因往往是某个服务卡死或文件系统没有正常卸载。
处理的标准操作流程是：回到单用户模式提示符下，先执行sync命令将缓存写入磁盘，再执行exec /sbin/init 6或reboot。sync这个命令很多人都知道，但很少有人会在重启前真正执行它。在应急操作中，多执行一次sync能大幅降低文件系统损坏的风险。
如果重启后系统在黑屏或日志界面停留过久，不要急着强制断电。可以先等待两到三分钟，有些服务在SELinux relabel阶段确实需要较长时间。如果确认卡死，再长按电源键强制关机，然后重新开机观察。
5.3 后续备份与运维记录建议
密码修改完成后，我建议顺手做两件事。
第一，导出当前系统的主要配置信息，至少包括用户列表和关键配置文件的备份：
getent passwd > /root/users_bak.txt cp /etc/shadow /root/shadow.bak这样下次再遇到类似问题，可以直接对比查找异常变化。
第二，记录本次操作时间线和操作内容。不管是个人使用还是团队运维，一份简单的操作日志都有不可替代的价值。比如这次改了哪个用户、改密码后做了哪些验证、系统当前SELinux是什么状态。几个月后再遇到问题，翻日志比重新排查快得多。
在我处理的几十个同类问题中，最让人头疼的不是技术难点，而是操作者说不清楚之前做过什么。单用户模式给了你极高的系统权限，这种权限用得好的时候是救急良药，用不好也可能带来安全隐患。在任何生产环境里，对这类“高权限操作”保持敬畏和留痕，是一个运维人员最基本的职业素养。
5.4 一点个人经验
最后再分享一个我自己踩过坑后总结出来的经验。很多人修改完密码后，直接用新密码登录桌面系统，但怎么输都显示认证失败。排查到最后才发现，问题出在输入法或键盘布局上。银河麒麟桌面版的登录界面默认使用系统安装时的键盘布局，如果你在单用户模式下是用美式键盘输入的密码，而桌面环境切换到了中文输入法或其他布局，某些特殊字符就会对不上号。
所以建议在设置新密码时，尽量避开那些需要切换输入法才能打出来的特殊字符，比如中文字符和全角标点。用纯ASCII字符组合，可以最大程度避免这类“密码没错但就是登不上”的尴尬情况。
本文还有配套的精品资源，点击获取
