• 场景描述

在国产化信创终端运维场景中，银河麒麟桌面操作系统搭载原生图形桌面环境，是运维人员开展本地终端操作、桌面调试、设备配置的主要操作入口。管理员或普通用户在本机显示器通过图形会话管理器（lightdm）登录系统，输入正确用户名与密码后，出现认证失败、屏幕闪烁直接退回登录界面、反复跳转登录框、弹窗提示认证错误等故障，无法正常进入图形桌面环境。

（一）典型故障现象

1. 输入正确账户密码，点击登录后屏幕短暂闪烁、黑屏卡顿，随即直接退回图形登录界面，无任何错误弹窗提示。

2. 图形登录界面底部弹出提示“认证失败，请重新输入”，持续无法完成身份校验。

3. 系统内部分账号可以正常登录图形桌面，部分账号固定认证失败，故障表现具备账号特异性。

4. 使用快捷键切换至文本控制台tty，同一账号密码可正常登录并执行命令，仅图形桌面登录存在异常。

（二）故障核心诱因

该类图形登录认证异常为银河麒麟桌面操作系统高频通用故障，核心诱因覆盖账户安全策略、认证配置、用户目录权限、系统资源、桌面会话服务、系统安全机制等维度，具体包含：系统账户锁定、用户密码过期、PAM认证模块配置异常、用户家目录缺失或路径异常、家目录文件权限/属主异常、系统磁盘空间耗尽、用户进程数资源上限超限、lightdm图形会话服务异常、SELinux安全上下文配置异常、桌面会话缓存文件损坏等。

本文结合银河麒麟桌面操作系统的系统架构、桌面服务机制及信创桌面运维场景，整理标准化排查修复流程，可快速定位、解决图形界面登录认证失败各类问题。

• 适用范围

适用的操作系统版本：银河麒麟桌面操作系统V10 SP1

适用的架构：X86架构（Intel/AMD处理器）、aarch64架构（鲲鹏/飞腾处理器）、mips64架构、loongarch64架构；

适用场景：银河麒麟桌面操作系统本地图形控制台登录认证失败，排除显卡硬件损坏、显示器硬件故障。

• 处理流程
  • 前置条件
    1. 基础环境检查与准备

检查确认服务器供电正常，显示器、键鼠连接正常，显卡硬件无报错；操作系统正常完成启动。

当图形界面无法登录时，可以切换文本控制台：快捷键 Ctrl+Alt+F2~F6 进入 tty 文本终端，输入账号密码进行命令行排查。

操作前熟悉日志查看、配置文件备份操作；快捷键 Ctrl+Alt+F1/F7 可以切回图形登录界面。

1. • 第一阶段：基础网络与服务状态检查
     1. 硬件显示器输入输出检查
2. 确认显示器信号源选择正确，无花屏、黑屏等硬件故障；多显卡设备确认视频输出线缆接入业务使用显卡。
3. 硬件故障优先处置硬件，硬件无异常进入下一排查步骤。
   1. 1. 图形会话服务状态检查

登录tty文本终端，执行命令查看lightdm服务运行状态：

systemctl status lightdm

• 若服务未运行或未监听，启动服务并设为开机自启：

systemctl start lightdm

systemctl  enable  lightdm

• 若提示服务未找到（Unit lightdm.service could not be found），检查 lightdm 包是否安装：

dpkg -l | grep lightdm

• 若软件包缺失，则完成lightdm组件安装；
• 若服务正常，直接进入下一阶段。
  • 第二阶段：root用户账户登录图形界面异常

root 账户默认不允许图形登录属于安全策略，属于预期现象，不是故障。

• • 第三阶段：PAM 认证模块配置检查

图形登录管理器依赖 PAM 模块完成身份校验，PAM配置错误会出现输入密码后直接回弹登录界面。

1. 1. 1. lightdm 登录管理器 PAM 配置语法与参数检查

检查配置文件路径：/etc/pam.d/lightdm

检查要点：确认文件未丢失、不为空、内容无错乱；校验PAM语法、模块参数、控制标记，与系统默认标准配置保持一致。

/etc/pam.d/lightdm 默认参考配置：

#%PAM-1.0 auth    requisite       pam_nologin.so auth    sufficient      pam_succeed_if.so user ingroup nopasswdlogin @include common-auth -auth    optional        pam_gnome_keyring.so -auth    optional        pam_kwallet.so -auth    optional        pam_kwallet5.so @include common-account session [success=ok ignore=ignore module_unknown=ignore default=bad] pam_selinux.so close session required        pam_loginuid.so session required        pam_limits.so @include common-session session [success=ok ignore=ignore module_unknown=ignore default=bad] pam_selinux.so open -session optional        pam_gnome_keyring.so auto_start -session optional        pam_kwallet.so auto_start -session optional        pam_kwallet5.so auto_start session required        pam_env.so readenv=1 session required        pam_env.so readenv=1 user_readenv=1 envfile=/etc/default/locale @include common-password

修改配置前务必备份配置文件，命令如下：

cp /etc/pam.d/lightdm  /etc/pam.d/lightdm.bak

故障修复：若文件发生损坏，可从同版本正常主机拷贝标准配置文件，或重装对应桌面包lightdm、liblightdm-qt5、liblightdm-gobject进行恢复， 重装命令如下：

sudo  apt   reinstalll  软件包     #银河麒麟桌面操作系统版本不同，lightdm包版本会有差异，根据实际软件包版本进去重装，软件包版本可通过执行‘dpkg  -l   | grep   软件包’进行查询。

1. 1. 1. 密码策略、账户策略配置检查

检查PAM策略文件/etc/pam.d/common‑auth、/etc/pam.d/common‑password，确认不存在错误拦截规则。

2.1. /etc/pam.d/common-auth默认参考配置

auth [success=4 default=ignore] pam_biometric.so auth [success=3 default=ignore] pam_unix.so nullok nodelay try_first_pass pwquality deny=5 unlock_time=180 root_unlock_time=180 auth [success=2 default=ignore] libpam_kim.so use_first_pass retry=3 auth [success=1 default=ignore] pam_sss.so use_first_pass auth   requisite pam_deny.so auth  required  pam_permit.so

2.2. /etc/pam.d/common-password默认参考配置

password requisite pam_pwquality.so retry=3 password [success=4 default=ignore] pam_unix.so use_authtok try_first_pass sm3 password sufficient                      libpam_kim.so use_authtok try_first_pass password [success=1 default=ignore] pam_localuser.so password sufficient pam_sss.so use_authtok password requisite pam_deny.so password required pam_permit.so

2.3. /etc/login.defs 参数校验

核查密码有效期、UMASK等参数配置合理性：

表1 /etc/login.defs 参数对照表

配置	参数	释义
PASS_MAX_DAYS	180	密码最大有效天数，到期强制修改密码 99999= 永久不过期
PASS_MIN_DAYS	0	两次修改密码之间最小间隔天数0= 随时可以改密码
PASS_WARN_AGE	7	密码到期前，提前多少天登录弹窗提醒改密码

• • 第四阶段：用户与文件权限检查

图形会话登录后需要向用户家目录写入会话缓存文件。若家目录不存在、权限异常，会直接登录失败，闪烁退回登录框。

• 家目录存在性检查

ls -ld /home/用户名

如果目录不存在，需要重建家目录并拷贝骨架文件:

mkdir -p /home/用户名

cp  -a  /etc/skel/.  /home /用户名

chown -R 用户名:用户名 /home/用户名

• 家目录、配置文件权限属主属组检查（用户家目录权限建议最大 755，禁止 777 权限）：

chmod 755 /home/用户名

chown -R 用户名:用户名 /home/ 用户名

• • 第五阶段：图形登录服务与 shadow 文件权限检查

lightdm系统用户丢失、/var/lib/lightdm目录损坏，或者/etc/shadow文件属性异常，均会造成图形登录认证故障。

• lightdm 服务用户及目录检查

核查 lightdm 图形登录服务文件和权限。

重建 lightdm 系统运行用户：

useradd -r -d /var/lib/lightdm -s /usr/sbin/nologin lightdm

重建目录并配置权限：

mkdir -p /var/lib/lightdm

chown -R lightdm:lightdm /var/lib/lightdm

chmod 700 /var/lib/lightdm

清理图形临时缓存：

rm -rf /tmp/.X* /tmp/lightdm*

• /etc/shadow 文件属性检查

文件标准属性：‑rw‑r‑‑‑‑‑ 1 root shadowØ

-属组错误：unix_chkpwd 依赖 shadow 组权限访问 /etc/shadow，属组错误直接导致读取权限丧失。

-权限错误：PAM 校验逻辑对文件模式位有严格要求，权限不足同样导致读取失败。

恢复命令：

sudo chown root:shadow /etc/shadow   # 更改属主和属组

sudo chmod 640 /etc/shadow           # 更改读写权限

1. • 第六阶段：依赖库故障检查
2. 缺失libcrypto.so.3动态链接库会造成ssh‑agent进程崩溃，图形会话被销毁，登录后瞬间退回登录界面。

• 故障原理：用户密码认证通过，会话初始化拉起ssh‑agent，动态库缺失导致进程崩溃，连带销毁整个图形会话；文本控制台不会启动该组件，不受故障影响。
• 版本依赖说明：银河麒麟桌面操作系统预装OpenSSH适配OpenSSL1.1版本，依赖libcrypto.so.1.1；开源新版OpenSSH依赖OpenSSL3.0，需要libcrypto.so.3。仅升级OpenSSH而不升级OpenSSL，会产生依赖断层。

1. 第三方厂商软件配置错误，链接的动态库变成了第三方的动态库。替换了系统标准的库文件，导致lightdm调用错误

• 故障原理：

第三方软件错误修改动态库搜索路径或直接替换系统动态库，lightdm加载了ABI、符号版本不兼容的第三方同名动态库，动态链接解析失败，lightdm进程异常退出，图形显示管理器无法启动

• 常见报错：

1.#运维过程被更改的动态库不同，报错信息会存在一定差异，需要根据实际情况去判断，下面报错信息仅供参考

/var/log/lightdm/lightdm.log 日志片段:

[+0.00010] DEBUG: Loading shared libraries

[+0.00025] ERROR: Failed to load libxcb.so.1

[+0.00030] CRITICAL: Cannot start display manager, exiting

2.执行lightdm：

#找不到动态库文件

lightdm: error while loading shared libraries: libxcb.so.1: cannot open shared object file: No such file or directory

#版本不符合

lightdm: /usr/lib/x86_64-linux-gnu/libxcb.so.1: version `XCB_1.14' not found (required by lightdm

• 常见处理办法：

1.环境变量污染，依次查找以下文件：

/etc/environment 、/etc/profile、/etc/profile.d/*.sh

清理第三方环境全局环境变量，修改全局变量，用例如下：

# 在脚本中写了export，所有进程继承这个环境变量

export LD_LIBRARY_PATH="/opt/thirdapp/lib:$LD_LIBRARY_PATH"

删除全局配置里export LD_LIBRARY_PATH=xxx这一行。

# 设置局部环境变量，只作用于当前业务程序，不影响lightdm等系统

LD_LIBRARY_PATH="/opt/thirdapp/lib" exec /opt/thirdapp/bin/thirdapp

2.使用cp、mv等命令覆盖了/usr/lib下系统so文件，且未备份相关so文件，重装对应软件包，恢复原版本库文件，用例如下：

# 查询该so所属软件包，根据实际情况补充路径

dpkg -S /usr/lib/x86_64-linux-gnu/libxcb.so.1

图1 包版本信息

#重装对应软件包，恢复原版库文件,软件包根据实际情况补充安装

apt reinstall libxcb1

• • 第七阶段：资源限制检查

当用户进程数达到上限，图形会话无法创建新进程，登录直接闪退。

1. 1. 1. 用户进程数 nproc 限制检查

用户进程数量达到上限，图形会话无法创建桌面进程，出现登录闪退回弹。

• 查看限制

ulimit -u

• 统计该用户进程数量

ps -ef | grep "用户名" | wc -l

• 临时处理：杀掉该用户无用僵尸进程；
• 永久调整：编辑 /etc/security/limits.conf，示例配置：

username soft nproc 4096

username hard nproc 8192

"username"为需要调整nproc的用户名，修改前备份配置文件，修改完成需要用户重新登录配置生效。

• 1. 1. 磁盘空间与 inode 资源检查
• 磁盘占满会导致图形会话无法写入缓存文件，登录失败。

df -h    # 查看磁盘使用率

df -i    # 查看inode使用情况

• 根分区或者 /home 分区使用率 100%，清理无用文件释放存储空间。
  • 第八阶段：日志深度分析与高级调试
    1. 图形登录服务系统日志分析

图形认证相关日志路径：/var/log/auth.log、/var/log/syslog、/var/log/lightdm/。

实操方法：在图形界面尝试登录，立刻切换tty文本控制台（Ctrl+Alt+F1~F6）查看最新日志报错。执行：

 less /var/log/auth.log

常见错误及含义：

• pam_unix (lightdm:auth): authentication failure：账号密码错误、账户锁定、PAM 规则拦截。
• Cannot make directory /home/xxx: Permission denied：家目录不存在或者权限异常。
• Too many processes：用户进程数达到 nproc 上限。
• unix_chkpwd: check pass; user unknown：/etc/shadow属组、权限异常
  1. 1. 切换控制台 tty 文本登录辅助定位
• tty文本控制台登录正常，仅图形登录失败：故障点集中在图形会话、.Xauthority、桌面环境、lightdm配置。
•  tty文本控制台同样认证失败：故障点集中在账号本身、PAM模块、密码安全策略。
  • 故障恢复与验证
    1. 图形会话服务重启

该操作会断开全部本地图形会话，业务环境需要得到客户确认后执行。

systemctl restart lightdm

• 1. 1. 图形界面登录验证
• 切换回图形界面（Ctrl+Alt+F1），使用故障账号输入用户名密码，确认能够正常进入桌面。
• 登录完成后复查系统日志，确认无认证报错。

• 图形界面登录认证失败常见原因汇总

按故障大类整理，方便运维人员快速对照定位：

1. 用户账户类原因

1. 用户账户被锁定（passwd‑S 显示 LK），多次密码错误触发自动锁定或者人为执行锁定操作。
2. 用户密码过期，未及时修改密码，图形界面无弹窗提示，直接返回认证失败。
3. 用户无本地密码（NL/NP），仅支持密钥 / LDAP 登录，本地图形登录无法完成密码认证。

1. root 账号，系统安全策略默认禁止 root 直接图形桌面登录。
2. PAM 认证相关原因

1. 系统对应对应的 PAM 配置文件 /etc/pam.d/lightdm、/etc/pam.d/common‑password 文件丢失、为空、内容被误修改
2. /etc/pam.d/common‑auth 配置文件被篡改，增加错误拦截规则。
3. 配置 PAM 双因素认证、LDAP/AD 域集成，域服务异常断开，引发本地图形认证失败。
4. PAM 模块包损坏、缺失，认证流程直接中断。

1. 用户家目录与桌面文件异常

1. 用户家目录被误删除、移动，图形会话无法加载用户桌面环境。
2. 用户家目录权限设置为 777 全局可写，系统安全机制拒绝图形会话创建。
3. 家目录下桌面缓存、文件损坏，登录后瞬间闪退回弹。
4. 用户家目录挂载异常，磁盘挂载失效，目录不读写。
5. /etc/shadow文件属组、文件权限异常。

1. 系统资源类原因

1. / 根分区或者/home分区磁盘空间100%占满，无法写入会话临时文件。
2. 磁盘 inode 耗尽，无法新建文件。
3. limits.conf 中 nproc 用户进程数限制过低，桌面需要大量进程，达到上限无法创建会话。
4. 内存资源耗尽，没有足够内存启动图形桌面会话。

1. 图形会话管理器服务问题

1. lightdm服务未启动、异常崩溃，登录界面可以展示但是认证流程异常。
2. 桌面软件包缺失、损坏，会话创建成功后立刻退出。
3. SELinux 上下文异常，.Xauthority、家目录安全上下文错误，访问被 SELinux 拦截。
4. 系统版本升级后lightdm配置被覆盖，参数异常。

1. 硬件与外设因素

1. 显卡驱动异常、显卡硬件故障，可以调出登录界面，登录后闪退。
2. 键盘布局异常，输入密码实际字符与预期不一致，造成密码错误假象。
3. 显示器、视频输出硬件故障。

1. 其他原因

1. 第三方安全加固脚本修改系统配置，限制用户本地控制台登录。
2. 挂载的家目录为 NFS 网络存储，网络断开导致家目录不可访问。
3. 动态链接库缺失，ssh‑agent崩溃销毁图形会话。

• 注意事项

1. 修改系统配置文件前务必备份原始文件，方便对比与故障回滚；

2. 禁止执行‘rm ‑rf /var’、‘rm ‑rf /etc’、‘rm ‑rf /lib’等高风险删除命令；

3. 重启lightdm图形服务会强制断开所有本地桌面会话，正式业务环境必须征得客户确认；

4. 禁止将用户家目录设置777全局可写权限，会触发系统安全机制导致图形登录失败；

5. root账号默认禁止图形登录，属于安全策略，不建议放开root图形登录权限；

6. 故障修复完成，必须验证登录功能，确认系统日志无报错，再交付使用。

附：实际案例

案例一：lightdm 系统用户丢失、/var/lib/lightdm 目录损毁，图形登录异常

【问题现象】

 本地图形登录界面输入用户正确密码，屏幕一闪直接退回登录框，反复登录失败；切换 Ctrl+Alt+F3 进入 tty 文本控制台，使用同一个账号可以正常登录。

【排查与分析】

1. tty 登录正常，说明账号密码、PAM 基础认证没问题。
2. 图形登录服务日志核查：调取/var/log/lightdm/lightdm.log图形登录管理器运行日志，发现服务进程反复异常崩溃；排查发现lightdm内置系统用户丢失，同时/var/lib/lightdm数据目录文件损毁，图形登录服务缺少运行依赖用户与目录文件，无法正常启动。

【解决方案】

1. 重建lightdm系统用户：
   useradd -r -d /var/lib/lightdm -s /usr/sbin/nologin lightdm
2.  重建目录并配置权限：
   mkdir -p /var/lib/lightdm
   chown -R lightdm:lightdm /var/lib/lightdm
   chmod 700 /var/lib/lightdm
3. 清理图形临时缓存：
   rm -rf /tmp/.X* /tmp/lightdm*
   【注意】此命令将不可逆删除对应文件或目录及其所有内容！执行 前请确保路径正确，避免误删系统关键目录（如 “/”、“/home”）。
4. 重启lightdm服务：
   systemctl restart lightdm

案例二：缺失 libcrypto.so.3 动态库导致图形界面登录闪退

【问题现象】

用户密码认证可以正常通过，进入图形界面瞬间直接退回登录页面；查看用户会话日志~/.xsession-errors，存在关键报错：

/usr/bin/ssh-agent: error while loading shared libraries: libcrypto.so.3: cannot open shared object file: No such file or directory

【排查与分析】

1. 查看用户会话日志～/.xsession-errors，捕获核心报错：ssh-agent 缺失动态库 libcrypto.so.3。分析发现，图形界面登录时会话初始化会自动拉起 ssh-agent 进程，进程因库文件缺失崩溃，直接销毁整个 X 图形会话，出现登录回弹。字符终端不会启动 ssh-agent 进程，因此不受该故障影响。

2. 根因来自网安加固操作：仅将OpenSSH升级为开源新版本，未同步升级系统OpenSSL版本。

3. 版本依赖差异：银河麒麟桌面操作系统预装 OpenSSH 适配 OpenSSL1.1，依赖libcrypto.so.1.1；开源新版 OpenSSH 需要 OpenSSL3.0，依赖libcrypto.so.3，只升级 openssh 而不升级 OpenSSL，产生依赖库断层。

【解决方案】

1. CTRL+ALT+F3切换至字符控制界面;
2. 卸载网安升级的开源高版本 OpenSSH 套件:

sudo dpkg  -P openssh-client  openssh-server

【注意】卸载openssh-server文件会导致远程环境断开，必须在本地环境操作，不支持远程环境操作。

1. 通过系统官方源重新安装 OpenSSH 软件包：

     apt install openssh-client openssh-server

1. 校验 ssh-agent 动态库依赖，确认仅调用 libcrypto.so.1.1，无缺失报错：

     ldd /usr/bin/ssh-agent

1. 重启 lightdm 图形登录服务，重新测试图形界面密码登录，验证故障恢复：

       systemctl restart lightdm

案例三：/etc/shadow 属性异常引发图形登录异常

【问题描述】

图形界面（UKUI）登录或锁屏解锁时失败：输入正确密码后无法进入桌面，直接跳转回登录界面。但切换到字符控制台（Ctrl+Alt+F3）后，使用相同账号密码可在tty文本终端正常登录。

【问题分析过程】

1.查看 /var/log/auth.log，发现报错：unix_chkpwd: check pass; user unknown。

2.检查 /etc/shadow 文件属性，发现存在以下两处异常，二者共同导致 unix_chkpwd 无法读取用户密码信息：

属组错误：当前属组为 root，正确应为 shadow。unix_chkpwd 依赖 shadow 组权限访问 /etc/shadow，属组错误直接导致读取权限丧失。

权限错误：当前权限为 440，正确应为 640。PAM 校验逻辑对文件模式位有严格要求，权限不足同样导致读取失败。

3.unix_chkpwd 是一个设置了 SUID 位的辅助校验程序，依靠 shadow 组权限访问 /etc/shadow，而非以 root 身份直接读取。图形界面登录时，UKUI 锁屏/登录组件通过 PAM 调用 unix_chkpwd 做密码校验，属组和权限双重不满足，导致读取用户密码条目失败，最终报错“ unix_chkpwd: check pass; user unknown”，图形认证失败。

【解决方案】

1.切换字符控制台：

按Ctrl+Alt+F3切换至字符控制台，使用账号密码登录文本终端。

2.修复文件属主、属组及权限：

sudo chown root:shadow /etc/shadow   # 更改属主和属组

sudo chmod 640 /etc/shadow            # 更改读写权限

3.校验修复结果：

ls -l /etc/shadow

确认显示为-rw-r----- 1 root shadow ...即表示修复成功。

4.重启图形会话服务：

sudo  systemctl restart lightdm