在 Linux 系统中，可以通过查看登录日志文件来获取用户的登录历史信息和登录失败信息。

查看方法

登录日志文件的路径通常是 <code>/var/log/ 目录下的 auth.log 或 secure 文件。

要查看用户的登录历史信息，可以使用如下命令：

grep 'session opened' /var/log/auth.log

这会列出所有用户成功登录系统的记录。登录成功的记录中会显示登录的时间、用户名和登录方式（例如 SSH、TTY）等信息。

要查看用户的登录失败信息，可以使用如下命令：

grep 'Failed password' /var/log/auth.log

这会列出所有登录失败的记录。登录失败的记录中会显示登录的时间、用户名、登录方式和失败原因等信息。

注意，查看登录日志文件需要 root 权限，可以使用 sudo 命令来获取权限。

另外，根据 Linux 发行版和配置的不同，登录日志文件的路径和名称可能会有所不同。因此，如果上述方法不适用，你可以查阅系统的文档或相关资源来确定正确的登录日志文件路径和名称。

/var/log/secure常见的失败信息

在 /var/log/secure 文件中，常见的几种登录失败信息可能包括：

1. "Invalid user"：表示用户尝试使用一个不存在的用户名进行登录。

2. "Failed password"：表示用户尝试使用错误的密码进行登录。

3. "User not known to the underlying authentication module"：表示用户不被底层身份验证模块所识别，可能是由于用户账户被禁用或者不存在。

4. "Authentication failure"：表示身份验证失败，可能是由于错误的用户名、密码或其他身份验证机制。

5. "Permission denied"：表示由于权限不足，用户被拒绝登录。

6. "Connection closed"：表示连接被关闭，可能是由于过多的登录尝试或其他安全策略导致的。

这些登录失败信息可以帮助系统管理员发现潜在的安全威胁或尝试非法访问系统的行为。通过定期检查 /var/log/secure 文件，管理员可以及时采取措施来保护系统的安全。

账号密码过期secure日志返回值

如果用户密码已过期，使用该用户登录时，/var/log/secure 文件中可能会返回以下关键返回值：

1. "Password expired"：表示密码已过期，用户需要修改密码才能继续登录。

2. "Account expired"：表示用户账户已过期，需要管理员对用户账户进行恢复或重新激活。

3. "Account locked"：表示用户账户被锁定，可能是由于多次登录失败或安全策略导致的。用户需要联系管理员进行解锁。

4. "Password change required"：表示用户被要求在首次登录或密码过期后必须更改密码，才能继续登录系统。

这些关键返回值提示用户密码问题或账户状态问题，需要用户采取相应的操作来解决登录问题，例如修改密码、联系管理员解锁账户或延长密码有效期等。