1. 树莓派OS中的“pi”用户从默认账户到安全基石如果你刚拿到一块树莓派兴奋地烧录好官方系统镜像第一次启动后系统大概率会引导你创建一个用户。但你可能不知道在更早的版本里或者在某些“无头”Headless安装场景下系统里已经静静地躺着一个名为pi的用户。这个默认的“pi”用户对于每一位树莓派玩家来说既是启蒙的起点也可能成为安全防线的第一个漏洞。今天我们就来彻底拆解这个看似简单、实则内涵丰富的默认账户聊聊它的前世今生、安全隐忧以及我们该如何正确地“使用”和“处置”它。从树莓派OS原名Raspbian诞生之初“pi”用户就和经典密码“raspberry”绑定在一起成为了全球数百万开发者、教育者和极客进入微型计算机世界的大门。它的存在极大地降低了入门门槛——你不需要在首次启动时就纠结于复杂的用户管理。然而正是这种“开箱即用”的便利性在设备接入网络后带来了巨大的安全风险。想象一下成千上万台树莓派设备用户名和密码都是公开的秘密这无异于在互联网上敞开了一扇扇后门。因此理解“pi”用户已经从一个简单的操作问题演变为树莓派安全实践的核心课题。无论你是用它搭建家庭媒体中心、物联网网关还是作为轻量级服务器处理好这个默认账户都是你的第一堂必修课。2. “pi”用户的深度解析设计初衷与演进历程2.1 “pi”用户的诞生与核心使命树莓派基金会创立之初其核心使命是推动计算机科学教育让每个人都能以极低的成本接触和学习编程。这一理念深深烙印在它的操作系统设计上。早期的树莓派OS镜像在首次启动时会自动以用户pi和密码raspberry登录到桌面环境或命令行。这个设计的逻辑非常直接零配置启动用户尤其是学生和初学者在烧录镜像后无需经历复杂的系统初始化设置如创建第一个用户就能立即与系统交互。这移除了入门的第一道障碍。预设的权限平衡pi用户并非超级管理员root而是被分配到了sudo用户组。这意味着用户在日常操作中拥有普通用户的权限可以管理自己的文件而当需要进行系统级更改如安装软件、修改配置时只需在命令前加上sudo并输入自己的密码即可临时获得 root 权限。这种设计既保证了系统的相对安全又提供了足够的灵活性。统一的教学与文档基础全球的教程、项目指南和论坛讨论都可以基于一个共同的假设“你登录的用户是pi”。这极大地简化了社区支持和技术分享的复杂度新手可以毫无顾虑地跟着教程一步步操作。可以说pi用户是树莓派“可访问性”哲学的实体化。它不是一个技术上的必然而是一个深思熟虑的产品和社区决策。2.2 从“默认启用”到“强制初始化”的安全转向随着树莓派从教育玩具演变为广泛应用于工业、物联网和家庭服务器的强大平台其面临的安全环境也发生了剧变。那个广为人知的默认凭证pi:raspberry成了自动化攻击脚本bot的首要目标。攻击者会扫描整个IP段尝试用这个凭证登录开启SSH服务的树莓派一旦成功设备就会被植入挖矿木马、加入僵尸网络或成为攻击跳板。为此树莓派基金会从2022年4月发布的树莓派OS基于Debian 11 Bullseye开始引入了一项至关重要的安全变更首次启动强制用户创建。注意这个变化是理解当前“pi”用户状态的关键。如果你使用的是2022年4月之后的官方镜像在首次启动时系统将不会再自动创建pi用户。相反它会引导你创建一个全新的、唯一用户名和强密码的首个用户。这个新用户同样会被加入sudo组拥有管理权限。那么原来的pi用户消失了吗并没有。在全新的镜像中pi这个用户账户根本不存在于系统里。它已经从“默认启用”变成了“可选遗产”。只有当你通过某些旧版镜像升级系统或者手动创建它才会出现。这一转变标志着树莓派OS安全模型的成熟将安全责任前置从“默认不安全”转向“默认安全由用户选择是否降低”。2.3 “pi”用户的权限解剖与组关系理解一个用户关键看它的权限。我们可以通过命令groups pi和id pi来查看一个已存在的pi用户的组关系。对于一个典型的、从旧系统继承或手动创建的pi用户它通常属于以下关键用户组sudo这是最重要的组。成员可以使用sudo命令以超级用户权限执行命令。这是pi用户能够管理系统的基础。adm允许读取系统日志文件如/var/log/syslog。dialout允许直接访问串行端口如 GPIO 上的 UART。这对于与 Arduino 或其他串行设备通信至关重要。video允许直接访问视频设备用于硬件加速的图形处理。plugdev允许成员挂载和访问可移动存储设备如U盘而无需root权限。这些组权限的配置使得pi用户能够在不频繁切换至 root 的情况下完成绝大多数开发、调试和日常使用任务在便利和安全之间取得了很好的平衡。3. 安全实践禁用、修改还是删除“pi”用户面对一个已存在的pi用户例如从旧系统升级而来或者出于兼容性考虑手动创建了它我们必须采取明确的安全措施。这里有几种策略各有优劣。3.1 方案一彻底删除最安全但需谨慎这是最彻底的一劳永逸的方法适用于你已创建了另一个具备sudo权限的管理员账户的场景。操作步骤创建备用管理员账户首先确保你至少有一个其他拥有sudo权限的用户。如果还没有用当前pi用户创建一个。sudo adduser mynewadmin sudo usermod -aG sudo mynewadmin注销pi用户退出当前pi用户的会话。使用新账户登录通过SSH或本地终端用mynewadmin账户登录。删除pi用户及其主目录sudo deluser --remove-home pi这个命令会删除pi用户账户并同时删除其位于/home/pi的整个家目录。实操心得绝对不要在仅有一个pi用户的情况下直接删除它否则你可能会把自己锁在系统管理权限之外只能通过单用户模式等复杂方式恢复。执行删除前务必确认pi的家目录/home/pi下没有你需要保留的重要项目文件或配置文件。--remove-home参数是强制性的避免留下包含敏感信息的空目录。删除后所有以pi用户身份运行的定时任务cron job或服务都将失效需要重新配置到新用户下。3.2 方案二禁用密码登录与SSH折中方案如果你因为某些脚本、服务或路径依赖暂时无法删除pi用户那么至少应该禁止通过密码方式登录它特别是禁止SSH。操作步骤禁用密码认证将pi用户的登录密码锁定。这样即使知道用户名也无法通过输入密码登录。sudo passwd -l pi修改SSH配置关键编辑SSH服务器配置文件明确禁止pi用户登录。sudo nano /etc/ssh/sshd_config在文件末尾添加一行DenyUsers pi保存退出后重启SSH服务使配置生效sudo systemctl restart ssh注意事项禁用密码passwd -l后该用户仍可能通过其他认证方式如SSH密钥登录前提是你之前配置过。DenyUsers指令则是SSH层面的彻底拒绝。这种方式下pi用户依然存在其运行的进程如果有不受影响。适合作为过渡方案。3.3 方案三仅修改强密码最低要求如果上述改动对你来说都太复杂那么绝对最低限度的安全措施就是修改一个高强度密码。操作步骤sudo passwd pi系统会提示你输入新的UNIX密码。请务必设置一个强密码长度大于12位混合大小写字母、数字和特殊符号。重要警告这仅仅是“聊胜于无”的防护。如果设备暴露在公网攻击者仍然可以对你设置的这个密码进行暴力破解。只要密码不是绝对随机且足够长风险依然很高。此方案不推荐用于任何连接到互联网的设备仅适用于完全隔离的离线实验环境。方案对比速查表方案命令/操作安全等级对现有系统影响适用场景彻底删除sudo deluser --remove-home pi★★★★★高。删除用户和家目录。已有替代管理员账户且无pi用户下的关键依赖。禁用登录sudo passwd -l piDenyUsers pi★★★★☆中。用户存在但无法登录。进程可能受影响。需要保留pi用户身份运行的某些系统服务或文件所有权。仅改密码sudo passwd pi★★☆☆☆低。仅更改认证凭证。纯粹的离线环境、实验室短期演示且无法进行其他配置。4. 全新系统下的最佳安全初始化流程对于使用最新版树莓派OS镜像的用户你已经站在了更安全的起点。以下是首次启动时的推荐操作流程旨在构建一个稳固的安全基础。4.1 首次启动与用户创建烧录与启动使用树莓派镜像工具Raspberry Pi Imager烧录系统时你可以利用其“高级选项”齿轮图标预先设置主机名、用户名和密码并启用SSH。这是最推荐的方式可以免去首次启动的图形化设置。强制初始化如果没有预配置首次启动会进入“首次使用设置向导”。这里必须创建一个全新的用户名和强密码。这个用户就是你的主管理员账户。请忘记pi这个用户名。主机名修改避免使用默认的raspberrypi作为主机名改为一个独特的名称如myhome-nas或iot-gateway-01。这能减少在网络扫描中的特征暴露。4.2 SSH安全加固配置树莓派最常见的远程管理方式是SSH这也是主要攻击面。禁用root SSH登录确保/etc/ssh/sshd_config中包含PermitRootLogin no。启用密钥认证禁用密码认证在你的个人电脑上生成SSH密钥对ssh-keygen -t ed25519 -C “your_emailexample.com”将公钥~/.ssh/id_ed25519.pub上传到树莓派ssh-copy-id your_new_userraspberrypi_ip再次编辑/etc/ssh/sshd_configPasswordAuthentication no PubkeyAuthentication yes重启SSH服务sudo systemctl restart ssh提示在禁用密码认证前务必确认使用密钥可以成功登录否则可能被锁在门外。更改默认SSH端口将端口从22改为一个1024-65535之间的随机数例如2222。修改sshd_config中的Port项。这能阻挡绝大部分自动化脚本的扫描。4.3 防火墙配置与更新策略配置UFW防火墙树莓派OS通常预装了UFWUncomplicated Firewall。sudo ufw default deny incoming # 默认拒绝所有入站 sudo ufw default allow outgoing # 默认允许所有出站 sudo ufw allow from 192.168.1.0/24 to any port 22 # 仅允许内网IP段访问SSH如果你改了端口这里用新端口号 sudo ufw allow 80/tcp # 如果需要Web服务开放80端口 sudo ufw enable # 启用防火墙 sudo ufw status verbose # 查看规则设置自动安全更新定期更新是修补安全漏洞的关键。sudo apt update sudo apt upgrade -y可以配置无人值守更新但生产环境建议先测试再手动更新。sudo apt install unattended-upgrades sudo dpkg-reconfigure --prioritylow unattended-upgrades5. 高级场景与疑难排查5.1 遗留系统升级后的“pi”用户处理如果你的树莓派是从很旧的系统2022年前通过apt dist-upgrade升级上来的那么pi用户很可能依然存在且密码可能还是默认的。处理流程如下立即修改密码sudo passwd pi评估依赖检查是否有服务、脚本或cron任务以pi用户身份运行。sudo systemctl --typeservice --staterunning | grep pi sudo crontab -u pi -l迁移或清理将依赖迁移到新的管理员账户然后按照第3章的方案一或二处理pi用户。5.2 无头安装Headless与自动化脚本中的用户管理在自动化部署如使用Ansible、Cloud-init或大规模部署物联网设备时你需要在没有显示器的状态下初始化系统。使用树莓派镜像工具预配置这是最简单的方法在烧录前就设置好所有用户、网络和SSH。使用userconf文件在SD卡的boot分区FAT32格式根目录下创建一个名为userconf或userconf.txt的文件。其内容格式为用户名:加密后的密码。密码可以通过命令echo ‘mypassword’ | openssl passwd -6 -stdin生成。系统首次启动时会读取此文件创建用户。注意此方法在新版系统中创建的用户会替代旧的自动pi用户创建逻辑。在脚本中处理在自动化脚本中第一步就应该是创建新用户、赋予sudo权限然后安全地移除或禁用pi用户。5.3 常见问题与错误排查问题sudo: user ‘pi’ is not in the sudoers file原因pi用户意外被从sudo组移除或者是一个权限配置错误的账户。解决你需要用另一个sudo用户登录执行sudo usermod -aG sudo pi将其加回。如果没有其他sudo用户则需要通过恢复模式单用户引导来修复。问题忘记所有用户密码包括pi解决将SD卡插入另一台电脑挂载根分区通常是第二个分区ext4格式。编辑/etc/shadow文件找到相应用户行将其密码哈希字段第二个冒号后的部分替换为*或!即可禁用密码。重启后该用户无需密码即可登录如果配置了免密码sudo甚至可以直接改密码登录后请立即设置新密码。这是一种紧急恢复手段。问题服务无法启动报错涉及pi用户原因服务单元文件service file中指定了Userpi但该用户已被删除或禁用。解决修改服务配置文件通常位于/etc/systemd/system/或/lib/systemd/system/将User项改为一个存在的有效用户如你的新管理员账户。然后执行sudo systemctl daemon-reload和sudo systemctl restart service_name。处理“pi”用户的过程本质上是一次系统安全意识的实践。它提醒我们在享受开源硬件和社区带来的便利时主动的安全管理是不可推卸的责任。从默认的“pi”到自定义的、受保护的管理员账户这一步的跨越标志着你从树莓派的使用者向管理者的角色转变。