Linux nsswitch.conf 完全指南：深入 GNU C Library 的名称服务开关实现

引言：NSS 的设计哲学与历史渊源

/etc/nsswitch.conf 是 Linux 系统中控制名称服务查询流程的核心配置文件。在传统 UNIX 系统中，系统信息（如用户、主机、服务）的查询方式被硬编码在 C 库中——查用户就读 /etc/passwd，查主机就读 /etc/hosts。随着 NIS、DNS 等网络信息服务逐渐普及，这种僵化的实现方式显然无法适应新的需求。

GNU C Library 借鉴了 Sun Microsystems 在 Solaris 2 C 库中采用的方法，实现了 Name Service Switch (NSS) 机制。尽管接口与 Sun 版本相似，但 glibc 的实现是完全独立开发的，从未参考过 Sun 的源代码，因此在内部接口和文件名上存在差异（如 glibc 使用 libnss_files.so.2，而 Solaris 使用 nss_files.so.2）。

NSS 机制的核心设计思想是将不同数据源的实现分离到独立的动态共享库模块中，带来三大优势：

贡献者可以添加新服务而无需修改 glibc 本身
各模块可以独立更新
C 库镜像体积更小

一、配置文件语法权威详解

1.1 基本格式

/etc/nsswitch.conf 的每一行定义了一个数据库的查询策略，格式为：

数据库名: 服务1 [动作] 服务2 [动作] ...

字段之间用空格或 Tab 分隔，# 号开始注释直到行尾。配置文件应按照最常用的服务排在前面的原则来组织，以优化查询性能。

1.2 支持的数据库完整列表

根据 glibc 手册，NSS 支持以下标准数据库：

数据库	用途	关联函数
`aliases`	邮件别名	`getaliasent(3)`
`ethers`	以太网地址映射	–
`group`	用户组信息	`getgrent(3)`
`gshadow`	组影子密码	`getgspent(3)`
`hosts`	主机名与 IP 地址	`gethostbyname(3)`
`initgroups`	补充组列表	`getgrouplist(3)`
`netgroup`	网络组（访问规则）	`getnetgrent(3)`
`networks`	网络名与地址	`getnetent(3)`
`protocols`	网络协议	`getprotoent(3)`
`publickey`	Secure_RPC 公钥	–
`rpc`	RPC 程序号与名称	`getrpcbyname(3)`
`services`	网络服务与端口	`getservbyname(3)`
`shadow`	影子密码	`getspnam(3)`

将来还会增加更多数据库（如 automount, bootparams, netmasks 等）。

1.3 服务规范与模块命名规则

服务规范指定了数据来源。每个服务必须有对应的共享库，命名规则为 libnss_SERVICE.so.版本号（如 libnss_files.so.2）。

标准服务：

服务	实现库	说明
`files`	`libnss_files.so`	从 `/etc` 目录下的文件读取
`db`	`libnss_db.so`	从预处理的数据库文件（如 `/var/db`）读取
`dns`	`libnss_dns.so`	通过 DNS 查询（仅用于 `hosts` 和 `networks`）
`nis`	`libnss_nis.so`	通过 NIS（YP）查询
`nisplus`	`libnss_nisplus.so`	通过 NIS+ 查询
`compat`	`libnss_compat.so`	兼容模式，支持 `/etc/passwd` 中的 `+/-` 语法
`hesiod`	`libnss_hesiod.so`	通过 Hesiod（基于 DNS 的命名服务）查询

第三方扩展服务（需安装对应模块）：

ldap：LDAP 目录服务器
sss：System Security Services Daemon（SSSD），执行自己的基于文件的缓存
myhostname/mymachines：systemd 主机名/机器名解析
mdns*：Avahi mDNS/DNS-SD 支持
resolve：systemd-resolved 解析器
winbind：Samba Winbind 支持

1.4 `files` 服务的文件映射

当指定 files 服务时，各数据库对应的本地文件如下：

数据库	对应文件
`aliases`	`/etc/aliases`
`ethers`	`/etc/ethers`
`group`	`/etc/group`
`gshadow`	`/etc/gshadow`
`hosts`	`/etc/hosts`
`initgroups`	`/etc/group`
`netgroup`	`/etc/netgroup`
`networks`	`/etc/networks`
`passwd`	`/etc/passwd`
`protocols`	`/etc/protocols`
`publickey`	`/etc/publickey`
`rpc`	`/etc/rpc`
`services`	`/etc/services`
`shadow`	`/etc/shadow`

二、流程控制：状态码与动作的精妙设计

2.1 状态码（Status Codes）

每个服务查询后会返回以下四种状态之一：

状态码	含义	默认动作
`success`	成功找到条目	`return`
`notfound`	查询成功但未找到条目	`continue`
`unavail`	服务永久不可用（文件不存在、DNS 服务器不可用或不接受查询）	`continue`
`tryagain`	服务临时不可用（文件被锁、服务器过载）	`continue`

2.2 动作（Actions）

动作控制查询流程，包括三种类型：

动作	含义
`return`	立即返回当前结果，不再调用后续服务
`continue`	继续尝试列表中的下一个服务
`merge`	合并结果（仅 `group` 数据库，glibc 2.24+）

动作语法：[ ( !? 状态码 = 动作 )+ ]

! 表示取反，匹配除指定状态外的所有结果
关键字不区分大小写
动作项放置在两个服务名之间

2.3 `merge` 动作的深入解析（glibc 2.24+）

[SUCCESS=merge] 是 glibc 较新版本引入的增强功能，目前仅对 group 数据库的组成员字段（gr_mem）有效：

当组在第一个服务中被找到，处理继续到下一个服务
如果在第二个服务中也找到同名且同 GID 的组，第二个组的成员列表会合并到返回的组对象中
如果只有一个条件匹配（同名不同 GID 或同 GID 不同名），行为是未定义的
合并之后，如果后续服务出现错误，这些错误会被忽略，已收集的数据会被返回
getgrent(3) 枚举时不执行合并，重复成员也不会自动去重

2.4 `continue` 动作的特殊行为

对 initgroups 数据库和 success 状态，continue 的行为类似 merge，这一点需要注意。

2.5 实战案例解读

案例 1：权威 NIS 策略

ethers: nisplus [NOTFOUND=return] db files

等效于：

ethers: nisplus [SUCCESS=return NOTFOUND=return UNAVAIL=continue TRYAGAIN=continue]
        db [SUCCESS=return NOTFOUND=continue UNAVAIL=continue TRYAGAIN=continue]
        files

如果 nisplus 返回 notfound（明确没有该条目），立即返回失败，不再查 db 和 files
如果 nisplus 返回 unavail（如机器正在启动中），则继续查 db 和 files
这巧妙地区分了“条目不存在”和“服务不可用”两种场景

案例 2：反向权威策略

hosts: dns [!UNAVAIL=return] files

!UNAVAIL 匹配 success、notfound、tryagain 三种状态，均执行 return
只有 DNS 服务器完全不可用时才回退到 files

案例 3：SSSD 缓存优先

passwd: sss files

SSSD 执行自己的基于文件的缓存，通常应放在 files 之前
services: files sss 则是先查本地服务文件再查 SSSD

三、兼容模式（compat）详解

3.1 `+/-` 语法

compat 服务用于兼容旧式 /etc/passwd、/etc/group 和 /etc/shadow 文件中的 +/- 语法。这些特殊条目用于从 NIS 导入或排除用户：

passwd/shadow 文件：

+user：从 NIS 导入指定用户
+user::::::：导入用户但覆盖非空字段
+@netgroup：导入 netgroup 中的所有用户
-user：排除指定用户
-@netgroup：排除 netgroup 中的所有用户
+：导入所有未被排除的 NIS 用户

group 文件：类似语法适用于组。

3.2 伪数据库

compat 模式下，默认从 nis 服务获取数据。可通过伪数据库 passwd_compat、group_compat、shadow_compat 覆盖这一行为：

passwd: compat
passwd_compat: nisplus

注意：伪数据库只能指定除 compat 以外的 NSS 服务。

四、内部实现机制：glibc 源码视角

4.1 模块化管理

glibc 通过 nss_module.h 管理动态加载的 NSS 模块。每个模块由 struct nss_module 结构表示：

struct nss_module {
    int state;                          // 初始化状态
    struct nss_module_functions functions; // 函数指针
    void *handle;                       // dlopen 句柄
    struct nss_module *next;            // 链表指针
    char name[];                        // 模块名称
};

模块状态包括 nss_module_uninitialized（未初始化）、nss_module_loaded（已加载）和 nss_module_failed（加载失败）。

4.2 函数命名与调用

NSS 模块中的函数遵循严格的命名规则：_nss_service_function。例如，当使用 files 服务时，gethostbyname 会映射到 _nss_files_gethostbyname_r（注意模块只提供可重入版本）。

C 库将非可重入接口（如 gethostbyname）映射到可重入函数的调用，使用内部缓冲区替换用户提供的缓冲区。如果模块中某个函数不存在，会简单地视为返回 unavail。

4.3 数据库与动作的映射

nss_database.h 维护所有支持的数据库及其对应的动作列表。核心入口函数 __nss_database_get 为每个数据库提供一组动作，调用者不应长期缓存结果。

struct nss_database_data {
    struct file_change_detection nsswitch_conf;  // 文件变更检测
    nss_action_list services[NSS_DATABASE_COUNT]; // 各数据库的动作列表
    int reload_disabled;
    bool initialized;
};

4.4 进程 fork 处理

glibc 提供了专门的 fork 处理函数，确保在 fork 过程中 NSS 内部状态的一致性：

__nss_database_fork_prepare_parent：fork 前在父进程中调用
__nss_database_fork_subprocess：fork 后在新子进程中调用

五、配置重载机制（glibc 2.33+）

5.1 历史问题

在 glibc 2.33 之前，每个进程只读取一次 nsswitch.conf。修改文件后，必须重启进程才能生效。这对关键应用（如长时间运行的服务）造成了不便。

5.2 新机制

glibc 2.33 引入了自动重载机制：

配置文件发生变化时会重新解析
只重载配置本身，已加载的共享库对象只加载一次，不会被卸载（避免共享对象仍在使用中被卸载的问题）
解析器维护预解析行的内存池，通过复用已有数据避免长期运行程序的内存无限增长
file_change_detection 机制用于检测配置文件的修改

5.3 关键注意事项

更新 nsswitch.conf 时应尽可能原子化，避免应用程序看到部分配置
使用 rsync 更新远程机器时，不要使用 --inplace 选项，应采用创建/复制/重命名序列
如果应用程序缓存了部分查询结果但未缓存其他部分，可能收到不一致的信息集；应用程序应能适应数据变化

六、默认配置与优化建议

6.1 默认值

如果 /etc/nsswitch.conf 不存在或损坏，NSS 会使用以下默认值：

数据库	默认配置
`hosts`, `networks`	`dns [!UNAVAIL=return] files`
`passwd`, `group`, `shadow`	`compat [NOTFOUND=return] files`
其他数据库	`nis [NOTFOUND=return] files`

这些默认值的设计考虑了各种服务不可用的情况，确保系统即使在启动过程中也能正常工作。

6.2 性能优化

响应时间差异：本地文件查找可能很快，但如果文件很大且条目在末尾，可能需要较长时间。这时 db 服务提供了更快的访问方式。
网络服务：NIS、DNS 等服务响应较慢，应尽量避免不必要的查询
配置顺序：将最常用、响应最快的服务放在前面

七、总结

nsswitch.conf 是 Linux 系统中虽然小巧但影响深远的核心配置文件。它通过模块化设计、精细的流程控制和可扩展的架构，为系统信息查询提供了统一的解决方案。理解 NSS 的内部实现机制，不仅是掌握 Linux 系统管理的基础，也是深入理解 glibc 设计哲学的重要途径。

Linux nsswitch.conf 完全指南：深入 GNU C Library 的名称服务开关实现

引言：NSS 的设计哲学与历史渊源

一、配置文件语法权威详解

1.1 基本格式

1.2 支持的数据库完整列表

1.3 服务规范与模块命名规则

1.4 `files` 服务的文件映射

二、流程控制：状态码与动作的精妙设计

2.1 状态码（Status Codes）

2.2 动作（Actions）

2.3 `merge` 动作的深入解析（glibc 2.24+）

2.4 `continue` 动作的特殊行为

2.5 实战案例解读

三、兼容模式（compat）详解

3.1 `+/-` 语法

3.2 伪数据库

四、内部实现机制：glibc 源码视角

4.1 模块化管理

4.2 函数命名与调用

4.3 数据库与动作的映射

4.4 进程 fork 处理

五、配置重载机制（glibc 2.33+）

5.1 历史问题

5.2 新机制

5.3 关键注意事项

六、默认配置与优化建议

6.1 默认值

6.2 性能优化

七、总结

老丹

其他文章

Mesh网络技术深度解析：原理、标准与开源实践

IKEv2/IPSec VPN 完整部署指南：从概念到容器化实践

Linux nsswitch.conf 完全指南：深入 GNU C Library 的名称服务开关实现

引言：NSS 的设计哲学与历史渊源

一、配置文件语法权威详解

1.1 基本格式

1.2 支持的数据库完整列表

1.3 服务规范与模块命名规则

1.4 files 服务的文件映射

二、流程控制：状态码与动作的精妙设计

2.1 状态码（Status Codes）

2.2 动作（Actions）

2.3 merge 动作的深入解析（glibc 2.24+）

2.4 continue 动作的特殊行为

2.5 实战案例解读

三、兼容模式（compat）详解

3.1 +/- 语法

3.2 伪数据库

四、内部实现机制：glibc 源码视角

4.1 模块化管理

4.2 函数命名与调用

4.3 数据库与动作的映射

4.4 进程 fork 处理

五、配置重载机制（glibc 2.33+）

5.1 历史问题

5.2 新机制

5.3 关键注意事项

六、默认配置与优化建议

6.1 默认值

6.2 性能优化

七、总结

老丹

其他文章

Mesh网络技术深度解析：原理、标准与开源实践

IKEv2/IPSec VPN 完整部署指南：从概念到容器化实践

1.4 `files` 服务的文件映射

2.3 `merge` 动作的深入解析（glibc 2.24+）

2.4 `continue` 动作的特殊行为

3.1 `+/-` 语法