在CentOS 7系统中，用户账户的安全管理是系统运维的重要环节，而shadow文件正是这一环节的核心，shadow文件位于/etc目录下，与/etc/passwd文件配合使用，专门存储用户的加密密码及相关安全信息，与早期将密码直接存储在passwd文件中的不同方式相比，shadow文件的引入显著提升了系统的安全性，因为它将敏感的密码信息从普通用户可读取的文件中分离出来,仅允许root用户访问。
Shadow文件的结构设计简洁而高效，每行对应一个用户账户，各字段通过冒号分隔，典型的条目格式如下：username:encrypted_password:last_change:min_age:max_age:warn_period:inactive_period:expire_date:reserved，username是用户名，与passwd文件中的用户名对应；encrypted_password是经过加密的密码，若为星号（*）则表示该账户被锁定，若为双星号（!!）则表示密码未设置；last_change记录了上次修改密码的天数，从1970年1月1日开始计算；min_age和max_age分别规定了密码修改的最短和最长间隔天数，用于强制用户定期更新密码；warn_period是在密码过期前多少天开始提醒用户；inactive_period是密码过期后账户被锁定前允许的天数；expire_date则是账户的绝对过期日期；reserved字段通常为空,保留未来扩展使用。
在CentOS 7中，shadow文件的权限默认设置为640，即所有者（root）可读写，所属组（root）可读，其他用户无权限，这一严格的权限控制是保障密码安全的基础，系统通过pwconv、grpconv等工具实现passwd与shadow文件的同步，确保用户管理的一致性，当新建用户时，useradd命令会自动在shadow文件中生成对应条目；而passwd命令修改密码时,则会直接更新shadow文件中的加密字段。
Shadow文件的管理需要谨慎操作，直接编辑shadow文件风险较高，推荐使用usermod、passwd、chage等命令进行间接管理，通过chage -M 90 username可设置用户密码的最大有效期为90天；通过usermod -L username可锁定账户，此时shadow文件的密码字段会变为*，定期备份shadow文件也是必要的安全措施，可通过cp /etc/shadow /etc/shadow.bak等命令实现,以防意外导致密码信息丢失。
需要注意的是，CentOS 7默认使用SHA-512算法加密密码，这一算法在安全性上优于早期的MD5或DES算法，管理员可通过/etc/login.defs文件中的ENCRYPT_METHOD参数调整默认加密算法，但修改后需为新用户或重置密码的用户才能生效，对于需要更高安全要求的场景，还可结合PAM模块实现多因素认证或密码复杂度策略,进一步强化系统防护。
FAQs
Q1: 如何查看CentOS 7系统中shadow文件的加密算法？
A1: 可以通过查看/etc/login.defs文件中的ENCRYPT_METHOD参数，或使用passwd -S username命令查看指定用户的密码加密方式，输出中显示“SHA512”即表示使用SHA-512算法加密。
Q2: 如果误删shadow文件，如何恢复？
A2: 若有备份，可通过cp /etc/shadow.bak /etc/shadow恢复；若无备份，可尝试重建：首先备份passwd文件，然后运行pwconv命令重新生成shadow文件，但此操作可能导致部分密码策略丢失,建议优先依赖备份。
