Linux lslogins 怎样按UID区间筛选用户

如果你想用 lslogins 找出 UID 1000 到 1999 的账号，关键点是：lslogins 的 -u 只能按系统配置识别“普通用户”，不能直接写成 1000-1999 这样的任意区间。稳定做法是先让它输出 UID 和用户名，再交给 awk 做闭区间判断。

lslogins 的 UID 过滤模型

lslogins -u 适合快速查看系统认定的普通用户。默认阈值通常从 /etc/login.defs 读取，常见默认下限是 1000，但不同发行版和部署策略可能不同；上限也由 UID_MAX 影响。nobody 或 nfsnobody 的 65534 还是一个特殊例外。

先把输出列收窄，避免默认表格加入列后让脚本误读：

# 只查看 lslogins 认定的普通用户，并固定 UID、用户名两列
lslogins -u -o UID,USER --noheadings --notruncate

# 查看当前系统用于普通用户判断的配置项
grep -E '^[[:space:]]*(UID_MIN|UID_MAX)[[:space:]]+' /etc/login.defs

这里的 -u 是一个分类开关，不是“接受两个端点”的范围语法。若需求只是列出当前系统的普通用户，直接使用它即可；若需求是审计 1500—1599、服务账号 200—499 等自定义区间，就需要第二层过滤。

用 awk 筛选任意 UID 闭区间

下面的命令把 1000 和 1999 都包含在内。--noheadings 去掉表头，-o UID,USER 保证第一列是数字 UID，第二列是登录名。

# 定义闭区间 [1000, 1999]，同时保留 UID 和登录名
min=1000
max=1999
lslogins -o UID,USER --noheadings --notruncate \
  | awk -v min="$min" -v max="$max" '$1 >= min && $1 

如果只想保留用户名，可以把动作改成 { print $2 }；如果需要给后续命令逐个传入账号，建议仍保留 UID 列，便于发现同名映射或数据源变化。不要直接解析默认输出的其他列，因为未来版本或本地配置可能改变默认列集合。

脚本化时的边界与替代方案

在自动化任务里，先验证列名和版本，再决定是否使用 --raw 或 --json。需要跨 LDAP、SSSD 等 NSS 数据源时，getent passwd 更接近账号数据库查询；需要把登录状态、失败登录等信息一起带出时，再保留 lslogins。两者混用时不要把“本机 /etc/passwd 没有记录”误判成“系统没有该 UID”。

最后检查三件事：区间是否包含端点，是否有 65534 这类特殊账号，空输出是否确实表示没有匹配项。这样既能满足一次性排查，也能让定时审计脚本的结果可解释。

相关问题

lslogins 能直接写 UID_MIN-UID_MAX 吗？

不能把任意两个数字作为一个区间参数传给 lslogins。应先输出 UID 列，再用 awk、脚本语言或其他过滤器比较边界。

为什么使用 -u 后仍看不到某个账号？

它可能低于 UID_MIN、高于 UID_MAX，或命中了 65534 的特殊例外。先查看 /etc/login.defs，再用不带 -u 的固定列输出确认。

需要跨目录服务查询时还用 lslogins 吗？

可以先用 getent passwd 确认 NSS 返回的账号，再按需用 lslogins -l 获取单个账号的扩展信息；不要只依赖本地文件。