开启password-control后 怎么查看密码的修改时间

开启 password-control 后，查单个用户"密码上次修改时间"的正确命令是 display local-user 用户名，不是 display password-control。display password-control 只显示全局策略，不显示单个用户的密码修改时间——这是你两个命令都"查不到"的根本原因。
一、正确命令：display local-user 用户名
在用户视图下执行：
display local-user admin
关键输出字段：
User name: admin
Class: manage
State: Active
Password last changed: 22 days ago ← 这就是密码上次修改时间
Password aging time: 90 days ← 密码老化时间
Idle time since last login: 3 days ← 距离上次登录的闲置时间
推算剩余过期天数：
Password aging time - Password last changed = 剩余天数
示例：90 天 - 22 天 = 68 天（还有 68 天过期）
💡 翻译：Password last changed: 22 days ago 意思是"该用户的密码在 22 天前修改过"。这是开启 password-control 后，查看单个用户密码修改时间的标准字段​ 。
二、为什么 display password-control 查不到
display password-control 显示的是全局密码策略，不是单个用户的信息 ：
display password-control
Global password control configurations:
Password control: Enabled (device management users)
Password aging: Enabled (90 days) ← 全局老化时间
Password length: Enabled (10 characters)
Password history: Enabled (max history records:4)
Early notice on password expiration: 7 days
Password history was last reset: 0 days ago ← 上次清除密码历史的时间
Minimum interval between two updates: 24 hours
User account idle time: 90 days
Logins with aged password: 3 times in 30 days

这不是吗

在开启了 password-control 的 H3C Comware 设备上，标准命令行工具确实无法直接查看某个用户密码的最后修改时间。

🔍 原因分析

display password-control 命令主要用于显示全局密码策略，而 display local-user 显示的是用户的基本属性和状态，两者均不包含密码修改时间这类动态信息。

💡 可行的替代方案

虽然没有直接查看的命令，但可以尝试以下几种方法来间接获取或推断相关信息：

1. 检查更详细的用户信息 (display local-user verbose)
   部分 Comware 版本中，这个命令可能会显示更多细节，可以尝试执行看看是否有 Password last set time 之类的字段。

   bash

   <H3C> display local-user verbose

2. 检查系统日志 (Logbuffer)
   密码修改事件会被记录在系统日志中。如果日志未被清除，可以从中找到修改记录。

   bash

   <H3C> display logbuffer | include USER

   在输出中搜索 User 或 Password 等关键词，可能会找到类似 “User admin password was changed” 的日志条目。

3. 通过SNMP获取 (如果已配置)
   如果设备已配置SNMP，并且MIB库支持，某些私有MIB节点可能提供密码管理信息。可以尝试用MIB浏览器查找 hh3cLocalUserPasswordSetTime 等相关节点。

4. 检查文件时间戳 (高级)
   设备的用户数据库通常存储在Flash中的文件里（如 localuser.dat）。理论上，可以通过查看该文件的最后修改时间来推断。但这并非标准操作方法，仅作为最后的参考手段。

   bash

   <H3C> dir /all | include localuser

⚠️ 重要说明

• 方法有效性：上述方法的可行性高度依赖于设备的具体型号和 Comware 软件版本。

• 最终建议：如果以上方法均无效，最可靠的方式是查阅你所使用设备具体软件版本的官方命令参考手册，确认是否有相关的命令或特性。

一、先说你查不到的根本原因
display password-control：只展示全局密码管控策略（密码有效期、复杂度、是否启用密码管控等），不会包含任何单个用户的改密时间，所以看不到修改记录。
不带用户名直接执行 display local-user：只会罗列所有用户名概要，同样不会展示「上次改密时间」字段；必须跟上具体用户名查看单用户详情，才能调出改密时间。
二、标准查看命令（开启 password-control 环境必用）
方式 1：查看单个用户上次改密间隔（绝大多数 V7 版本通用）
bash
<H3C> display local-user admin
输出关键字段：
plaintext
Password last changed: 22 days ago
# 释义：距离上一次修改密码过去了22天
Password aging time: 90 days
# 释义：密码全局有效期90天
剩余过期天数计算公式：
剩余天数 = 密码总有效期天数 − 已修改经过天数
例：90 − 22 = 68 天之后密码过期。
方式 2：新版本固件（新版 V7/V8）可直接展示精确年月日时分
bash
<H3C> display local-user admin verbose
字段变为精确时间：
Password last changed time: 2026-07-10 09:25:18
方式 3：批量导出所有用户改密时间
bash
# 遍历所有本地管理用户
display local-user | include ^User
# 逐个代入用户名循环查看
display local-user user1
display local-user user2
三、如果执行 display local-user xxx 仍然看不到改密字段
场景 1：该用户从未修改过初始密码
设备默认不会生成 Password last changed 记录，此字段直接隐藏不显示。
场景 2：固件版本老旧，仅支持天数展示、不支持精确时间
老旧版本只会显示 XX days ago，无法展示年月日，属于正常设计。
场景 3：该账号属于网络接入用户（dot1x/Portal 接入账号）
display local-user 只能查看设备管理账号（class manage）；接入认证账号需要进入 EIA 组件查看密码变更记录。
四、追溯「历史每一次密码修改的精确时间点」（审计溯源）
上面命令只能查到最近一次改密间隔，想要完整历史改密记录，依靠系统日志：
查看设备缓存日志：
bash
display logbuffer | include "changed password"
display logbuffer | include "modify password"
查看存储在 flash 的历史日志：
bash
more flash:/logfile/log.txt | include password
日志样例：
plaintext
%@18900001 %AAA/6/PWD_CHANGE_SUCCESS: User admin changed password successfully. Time:2026-07-10 09:25:18
完整记录了每一次密码修改的时间、账号、操作结果。
五、补充区分两类账号查询方式
设备登录账号（SSH/Telnet/Console 管理账号，class manage）
使用 display local-user 用户名 即可查看上次改密时间。
园区 802.1X/Portal 上网账号（存储在 iMC EIA）
交换机本地无法查看改密时间，需要登录 iMC EIA 接入组件 → 用户详情 → 账号操作日志 查看密码变更记录。
六、完整实操流程
确认全局密码管控开启：display password-control
查看管理员上次改密间隔：display local-user admin
需要精确日期：加参数 verbose
排查历史是谁改了密码：检索日志 display logbuffer | include password