答案：限制Linux用户登录的核心方法是修改登录Shell或锁定密码。通过
命令将Shell设为chsh/sbin/或nologin/bin/，可阻止用户获得交互式Shell；使用passwd -l命令锁定密码，在false/etc/shadow中添加!标记；也可用chage设置账户过期时间实现自动禁用。针对SSH登录，可配置sshd_config的DenyUsers或AllowUsers规则。这些操作不影响用户文件保留，家目录数据仍可保留用于交接或审计。临时阻止推荐使用passwd -l或chage，便于后续恢复；永久禁用则可组合修改Shell与锁定密码，甚至删除用户账户。此类措施几乎不影响系统性能，但能显著减少攻击面、防止未授权访问、降低内部风险，符合最小权限与合规性原则，是系统安全管理的关键实践。
要限制Linux用户不能登录系统，核心思路通常是改变其登录Shell为不可用的程序，或者直接锁定其账户密码。这能有效地阻止用户通过SSH、控制台等方式进入系统环境。
限制用户登录系统，我们有几种常用的手段，每种都有其适用场景和一些需要考量的地方。
最直接也是我个人最推荐的一种，是修改用户的登录Shell。Linux系统里，每个用户在
/etc/passwd文件里都有一行记录，其中一个字段就是登录Shell。把它改成一个不执行任何操作的程序，比如
/sbin/nologin或
/bin/false，用户就无法获得一个交互式的Shell环境了。
-
使用
chsh命令：这是最优雅的方式。
sudo
chsh/sbin/<用户名>nologin或者
sudo
chsh/bin/<用户名>falsechsh会修改
/etc/passwd文件。
nologin通常会给用户一个友好的提示信息，告知他们账户被禁用，而
false则直接退出。我更倾向于
nologin，因为它提供了更好的用户体验，至少能让被禁用的用户知道发生了什么。
-
直接编辑
/etc/passwd：如果你知道自己在做什么，也可以直接编辑这个文件。找到对应的用户行，把最后的
/bin/bash（或其他Shell）改成
/sbin/nologin或
/bin/false。
sudo vim
/etc/passwd比如，把
testuser:x:1001:1001::/home/testuser:
/bin/bash改成
testuser:x:1001:1001::/home/testuser:
/sbin/nologin。但请注意，直接编辑系统配置文件总是有风险的，一个小错误就可能导致其他问题。
另一种同样有效且操作简单的办法是锁定用户的密码。
sudo passwd -l <用户名>这个命令会在
/etc/shadow文件中用户的密码字段前加上一个
!，表示密码被锁定。这样，用户即使知道密码也无法登录。解锁也很简单，用
passwd -u <用户名>就行。这种方法的好处是，它不会改变用户的Shell，如果未来需要临时恢复登录，非常方便。
还有一种是设置账户过期。
sudo chage -E 0 <用户名>将过期日期设置为0（即过去），账户就会立即过期，用户无法登录。或者你可以设置一个具体的日期，让账户在某个时间点自动失效。
sudo chage -E YYYY-MM-DD <用户名>我觉得这个在某些场景下特别有用，比如给临时项目成员分配账户，到期自动失效，省去了手动处理的麻烦。
如果用户主要通过SSH登录，你也可以考虑修改SSH服务的配置来限制特定用户。编辑
/etc/ssh/sshd_config文件。
-
: 禁止特定用户登录。
DenyUsersDenyUsersuser1 user2 -
: 只允许特定用户登录，其他用户一律禁止。
AllowUsersAllowUsersuser3 user4 -
DenyGroups/
: 基于用户组进行限制。 修改后记得重启SSH服务：AllowGroupssudo systemctl restart sshd。这种方式我觉得更像是针对服务层的访问控制，而不是账户本身的禁用，但效果上也能达到目的。
禁用用户登录后，还能否保留其文件和数据？
当然可以，而且通常情况下，我们就是这么做的。限制用户登录，无论是通过修改Shell、锁定密码还是设置账户过期，这些操作都只是影响了用户“进入”系统的能力，并不会触及到用户在系统中的文件、目录或者其他数据。用户的家目录（通常是
/home/<用户名>）以及其拥有的其他文件会完好无损地保留在硬盘上。
这在实际操作中非常重要。比如，一个员工离职了，我们可能需要禁用他的登录权限，但他的工作资料、项目代码或者配置脚本可能还需要保留一段时间，以便交接或者审计。这时，禁用登录是一个非常好的选择，既保证了系统安全，又避免了数据丢失的风险。
当然，如果你确定不再需要这些数据，或者为了节省存储空间，也可以在禁用登录之后，手动备份并删除用户的家目录。但这个操作要非常谨慎，一旦删除，恢复起来就麻烦了。所以，我的建议是，除非有明确的删除需求，否则先保留着，至少在一段时间内。
临时阻止用户登录与永久禁用有什么区别？
在我看来，临时阻止和永久禁用，主要区别在于操作的可逆性和背后的管理意图。
临时阻止通常意味着在未来某个时间点，我们可能还需要恢复这个用户的登录权限。比如，用户因为安全审计被暂时冻结，或者因为违反了某些规定需要暂停登录一段时间。这种情况下，我们倾向于使用那些容易撤销的命令：
-
passwd -l <用户名>：这是最典型的临时阻止，一个
passwd -u就能轻松恢复。
-
chage -E YYYY-MM-DD <用户名>：设置一个未来的过期日期，到期自动禁用。或者设置一个过去的日期，然后通过
chage -E -1 <用户名>来取消过期。
- 将Shell改为
/sbin/nologin：虽然这看起来像是永久性的，但通过
chsh/bin/bash<用户名>又可以轻松改回来。
这些方法都保留了用户的完整账户信息和文件，可以随时恢复。
永久禁用则意味着我们不打算让这个用户再次登录系统，或者至少在可预见的未来没有这个计划。这通常发生在用户离职、账户被认定为恶意或不再需要的情况下。
- 删除用户：这是最彻底的“永久禁用”。使用
userdel <用户名>，如果想同时删除家目录和邮件池，就用
userdel -r <用户名>。一旦用户被删除，其UID、GID等账户信息就从系统中消失了，所有权会变成数字ID。恢复起来非常困难，甚至可以说是不可能。
- 将Shell永久设置为
/sbin/nologin或
/bin/false，并同时锁定密码
：虽然理论上可以恢复，但这种组合拳表达了一种更强的“不欢迎登录”的意图。
选择哪种方式，其实取决于你的管理策略和对用户账户生命周期的预期。我个人在处理离职员工时，倾向于先锁定密码和修改Shell，同时保留家目录一段时间，确认无误后再考虑删除。这样既安全又稳妥。
限制用户登录对系统性能和安全有何影响？
限制用户登录，从直接的系统性能角度看，影响几乎可以忽略不计。毕竟，一个用户是否能登录，并不会直接消耗CPU、内存或磁盘I/O。系统资源主要是在用户登录后执行操作时才会被占用。
然而，从系统安全的角度来看，限制用户登录的积极影响是巨大的，而且是至关重要的。
- 减少攻击面：系统上活跃的、可登录的用户越少，潜在的攻击入口就越少。每个可登录的账户都是一个潜在的漏洞点，可能被弱密码、社会工程学或者其他攻击手段利用。禁用不必要的账户，直接堵塞了这些风险。
- 防止未经授权访问：这是最直接的好处。当一个用户不再需要访问系统时，立即禁用其登录权限，可以有效防止其继续访问敏感数据或执行未经授权的操作。这对于遵守合规性要求（如GDPR、HIPAA）也至关重要。
- 降低内部风险：不仅是外部攻击者，内部用户也可能对系统造成威胁，无论是无意中的误操作还是恶意的破坏。限制或禁用不再需要的内部账户，可以显著降低这类风险。
- 便于审计和管理：清晰的用户账户状态（启用、禁用、过期）使得系统管理员更容易进行审计，了解哪些用户有权限，哪些没有。这有助于维护一个“最小权限原则”的环境，即每个用户只拥有其完成工作所需的最低权限。
在我看来，这是一个基础且必须的安全实践。任何不再活跃、不再需要登录的账户，都应该被立即禁用。这不仅仅是技术操作，更是安全策略中的一个核心环节。它就像是给你的房子上了锁，确保只有授权的人才能进入，而不是敞开大门，期待没有人会进来。