1. 问题根源：为什么重启后总弹出密钥环解锁提示？

如果你在Ubuntu系统上用过Chrome、Evolution邮件客户端，或者通过libsecret存储过Wi-Fi密码，那大概率见过这个烦人的弹窗。它通常长这样：“请输入密码以解锁您的密钥环‘默认’或‘登录’”。每次重启或重新登录后，这个弹窗就像个尽职的门卫，准时出现，要求你输入一次用户登录密码。很多朋友的第一反应是：“我不是已经登录系统了吗？为什么还要再输一次密码？”

要根治这个问题，得先理解它的运作机制。这背后是Linux桌面环境（特别是GNOME）中一个名为GNOME Keyring（或简称密钥环）的安全服务在起作用。你可以把它想象成一个数字保险箱。系统里很多应用程序，比如浏览器（保存网站密码）、邮件客户端（保存邮箱密码）、网络管理器（保存Wi-Fi密码），甚至一些开发工具（如Git凭据助手），它们都需要安全地存储一些敏感信息。直接把这些密码以明文形式扔在配置文件里，无异于把家门钥匙藏在脚垫下面。

于是，密钥环服务应运而生。它提供了一个加密的存储区，应用程序可以把秘密存进去。但这个保险箱本身也需要一把锁，这把锁的钥匙就是你的用户登录密码。设计初衷是：当你登录图形界面时，系统会自动用你输入的登录密码去解锁这个密钥环，实现“一次登录，处处畅通”。

那为什么这个美好的设计会失灵，导致每次都要手动解锁呢？核心矛盾在于认证方式的不匹配。现代Ubuntu默认使用LightDM或GDM作为显示管理器，它们负责图形登录界面。而密钥环服务期望从PAM（可插拔认证模块）那里获得一个“登录会话密码”。如果图形登录过程没有正确地将你的密码传递给PAM，或者传递给密钥环守护进程，那么密钥环在系统启动后就会处于锁定状态。当任何一个应用程序第一次尝试访问它时，系统就会弹出那个提示框，要求你提供密码来手动解锁。

常见触发场景有几种：从旧版本升级后PAM配置残留、手动修改过用户密码但密钥环密码未同步、使用了自动登录、或者通过sudo等特权操作改变了某些环境变量。理解了这个“保险箱”和“钥匙”的模型，我们解决起来就能对症下药了，目标就是让系统登录时，自动把正确的“钥匙”交给“保险箱”。

2. 方法一：同步密钥环密码与登录密码（治标治本）

这是最推荐、最根本的解决方法。原理很简单：既然密钥环期待用你的用户登录密码来解锁，那我们就确保密钥环里存储的加密密码，和当前用户的登录密码完全一致。很多时候问题就出在两者不同步上，比如你修改了系统登录密码，但密钥环的密码还是旧的。

2.1 使用seahorse可视化工具重置

对于大多数用户，图形化工具是最安全直观的选择。seahorse是GNOME密钥环的前端管理工具，通常预装在Ubuntu中。

1. 打开密码与密钥应用程序：在应用菜单中搜索“密码与密钥”或“Seahorse”，或者直接在终端里输入seahorse并回车。
2. 定位登录密钥环：在打开的窗口左侧，你会看到“登录”或“Default”密钥环。如果它前面有一个锁形图标，并且提示“已锁定”，那就找对地方了。
3. 更改密码：右键点击“登录”密钥环，选择“更改密码”。这时会弹出一个对话框。
   • 旧密码：这里需要输入密钥环当前使用的密码。如果你不确定，首先尝试输入你修改系统密码之前的旧密码。如果不对，再尝试输入现在的系统登录密码。如果两者都失败，说明密码可能已混乱，可以尝试将旧密码留空（直接回车）——有些情况下，如果密钥环是新建的或密码已丢失，系统允许你直接设置新密码。
   • 新密码：这里强烈建议输入你当前的系统登录密码。这样就能实现同步。
   • 确认密码：再次输入相同的系统登录密码。
4. 确认与测试：点击“继续”或“确定”完成修改。修改成功后，锁形图标应该会消失或变为打开状态。为了验证，最直接的方法是立即注销当前用户，然后重新登录。重新登录后，打开浏览器访问一个保存了密码的网站，或者尝试连接一个已保存的Wi-Fi，此时应该不会再弹出解锁提示。

注意：如果在“旧密码”步骤卡住，不知道旧密码是什么，这通常意味着密钥环密码已经丢失或混乱。此时，一个“激进”但有效的办法是：在seahorse中右键点击“登录”密钥环，选择“删除”。不用担心，这只会删除密钥环这个“保险箱”本身，而不会删除里面存储的各个应用程序的密码（如Chrome保存的网站密码）。删除后，当你下次启动某个需要存储密码的应用（如Chrome）时，系统会自动创建一个新的、空白的“登录”密钥环，并且会自动将其密码设置为你的当前登录密码。之后，你需要重新在浏览器里保存一次网站密码，但这通常比反复弹窗要省心。

2.2 使用命令行工具passwd与seahorse-daemon

如果你更喜欢命令行，或者在没有图形界面的服务器/远程会话中遇到类似问题（例如通过VNC），可以通过终端操作。

首先，确保你的系统登录密码是你想要的。如果不确定，可以先使用passwd命令修改用户密码：

passwd

按照提示输入当前密码（如果记得）和新密码两次。

接下来，我们需要让密钥环使用这个新密码。有时直接运行seahorse-daemon相关命令可以触发重设：

# 首先停止可能运行的密钥环守护进程 pkill -f gnome-keyring-daemon # 然后尝试通过dbus重新启动并初始化，这有时会触发密码同步 /usr/bin/gnome-keyring-daemon --start --components=secrets

但更可靠的方法是，通过libpam-gnome-keyring的PAM模块来强制关联。编辑PAM配置：

sudo nano /etc/pam.d/common-password

找到包含pam_gnome_keyring.so的行。如果没有，在文件末尾添加一行：

password optional pam_gnome_keyring.so

保存退出。然后，再次修改你的用户密码（即使和刚才一样）：

passwd

这次修改密码时，PAM模块会捕获新密码并同时更新密钥环的密码。修改完成后，同样需要注销并重新登录以使更改生效。

实操心得：图形界面方法（seahorse）成功率最高，也最不容易出错。命令行方法更适合高级用户或故障排查。无论用哪种方法，完成后务必重启相关应用或重新登录。有时候仅仅关闭应用再打开不够，因为密钥环守护进程可能已经为那个会话缓存了锁定状态，重新登录是刷新整个会话环境最彻底的方式。

3. 方法二：配置自动登录时解锁密钥环（针对自动登录用户）

很多朋友为了省事，为Ubuntu设置了自动登录（即开机后无需输入密码直接进入桌面）。这种情况下，密钥环服务“懵”了：它没有收到任何来自图形登录界面的密码，因为根本就没走那个流程。于是，它只能保持锁定状态，等待第一次被访问时手动输入密码。

我们的目标就是告诉系统：“嘿，虽然跳过了登录界面，但请用这个预设的用户密码去解锁密钥环。”

3.1 创建或编辑自动启动脚本

我们需要创建一个脚本，在用户自动登录后、桌面环境完全启动前，自动向密钥环提供密码。

1. 创建脚本文件：打开终端，使用文本编辑器创建一个脚本。通常放在家目录下或~/.config/autostart/目录里更规范。

   nano ~/.config/autostart/unlock-keyring.desktop

   实际上，.desktop文件是启动器，我们更需要一个shell脚本。先创建脚本：

   nano ~/.unlock-keyring.sh

2. 编写脚本内容：将以下内容粘贴到文件中。请务必将YOUR_LOGIN_PASSWORD替换为你真实的用户登录密码。

   #!/bin/bash # 等待gnome-keyring-daemon进程启动 sleep 5 # 使用expect工具自动输入密码（需要先安装expect） # 如果你的密码包含特殊字符，请确保在expect脚本中正确转义 expect << EOF spawn /usr/bin/gnome-keyring-daemon --unlock expect "Password:" send "YOUR_LOGIN_PASSWORD\r" expect eof EOF

   重要警告：将密码明文写在脚本中存在安全风险。任何能读取这个脚本文件的人都能看到你的密码。请仅在个人电脑上使用此方法，并考虑设置脚本文件的权限为仅自己可读：

   chmod 700 ~/.unlock-keyring.sh

3. 安装expect工具：上述脚本使用了expect来自动化交互过程，如果系统未安装，需要先安装：

   sudo apt update && sudo apt install expect -y

4. 创建.desktop文件来自动启动：为了让脚本在登录时自动运行，创建一个桌面启动项。

   nano ~/.config/autostart/unlock-keyring.desktop

   输入以下内容：

   [Desktop Entry] Type=Application Name=Unlock Keyring Exec=/home/YOUR_USERNAME/.unlock-keyring.sh Hidden=false NoDisplay=false X-GNOME-Autostart-enabled=true Comment=Unlock the default keyring on login

   将YOUR_USERNAME替换为你的实际用户名。

5. 赋予脚本执行权限并测试：

   chmod +x ~/.unlock-keyring.sh

   然后，你可以手动运行一次这个脚本来测试是否有效：~/.unlock-keyring.sh。观察是否有错误输出。最后，重启电脑，测试自动登录后是否还会弹出解锁提示。

3.2 使用更安全的替代方案：pam_keyring

相比于明文存储密码，使用libpam-keyring或libpam-gnome-keyring是更优雅和安全的选择。它通过PAM在登录时（即使是自动登录，也存在一个“登录事件”）自动处理密钥环密码。

1. 安装必要的包：

   sudo apt update sudo apt install libpam-gnome-keyring -y

2. 配置PAM：编辑/etc/pam.d/lightdm（如果你使用LightDM）或/etc/pam.d/gdm-password（如果你使用GDM）。在@include common-auth这行之后，添加以下内容：

   auth optional pam_gnome_keyring.so session optional pam_gnome_keyring.so auto_start password optional pam_gnome_keyring.so

   同时，也编辑/etc/pam.d/common-session和/etc/pam.d/common-password，确保其中包含对pam_gnome_keyring.so的引用。通常安装包后会自动配置，但检查一下更稳妥。

3. 初始化密钥环：为了让PAM模块能正确工作，可能需要先让密钥环存在并处于一个已知状态。最干净的方法是：

   • 确保你没有设置自动登录，先手动登录一次。
   • 登录时，如果弹出解锁密钥环提示，输入你的登录密码并勾选“自动解锁”（如果选项存在）。
   • 这次成功登录并解锁后，密钥环的密码就与登录密码关联上了。
   • 然后，你再重新启用自动登录。这样，在后续的自动登录中，PAM模块会尝试用关联的密码自动解锁。

注意事项：自动登录本身降低了设备的安全性，任何能物理接触你电脑的人都能直接进入系统。结合自动解锁密钥环，意味着你的所有保存密码也“门户大开”。请务必权衡便利性与安全性，仅在你确信物理环境安全（如家庭个人电脑）的情况下使用。

4. 方法三：修改或禁用密钥环（激进方案）

如果上述方法都无效，或者你觉得某些密码并非高度敏感，不需要密钥环这么严格的保护，可以考虑修改其行为或直接禁用它。这是最后的备选方案，因为它会降低安全性。

4.1 将密钥环密码设置为空

这是让弹窗消失最快的方法，但代价是密钥环不再加密。任何能访问你用户文件的程序（或恶意软件）都能读取里面存储的密码。

1. 打开seahorse（密码与密钥）。
2. 右键点击“登录”密钥环，选择“更改密码”。
3. 在“旧密码”框中，输入当前的密钥环密码（尝试你的登录密码或旧密码）。
4. 在“新密码”和“确认密码”框中，直接留空，什么都不输入。
5. 点击确定。系统会警告你安全性降低，确认即可。

设置完成后，密钥环将不再需要密码解锁，弹窗自然消失。但你的浏览器密码、Wi-Fi密码等将以可被解密的状态存储。

4.2 完全禁用密钥环守护进程

对于某些极简环境或确定不需要该功能的用户，可以阻止密钥环服务启动。

1. 通过环境变量禁用：编辑你的用户配置文件~/.profile或~/.bashrc（取决于你的shell），在文件末尾添加：

   export GNOME_KEYRING_CONTROL="" export SSH_AUTH_SOCK=""

   这会让依赖密钥环的应用程序找不到它。但注意，这可能会破坏一些功能，比如SSH代理（如果你用它管理密钥）。

2. 移除相关软件包（不推荐）：你可以尝试移除gnome-keyring包，但请注意，许多桌面应用依赖它作为底层服务，强行移除可能导致不可预知的问题。

   sudo apt remove gnome-keyring

   执行前请三思，并做好备份。

重要提醒：方法三是“伤敌一千，自损八百”的做法。除非你完全清楚自己在做什么，并且能承受潜在的安全风险和应用兼容性问题，否则不建议普通用户使用。优先尝试方法一和方法二。

5. 问题排查与进阶技巧

即使按照上述步骤操作，有时问题可能依然存在，或者表现出一些奇怪的现象。这里记录一些常见的“坑”和排查思路。

5.1 诊断密钥环状态与问题

当问题发生时，首先弄清楚当前密钥环的状态。

• 检查密钥环进程：在终端运行ps aux | grep keyring，查看gnome-keyring-daemon进程是否在运行，以及它的运行参数。
• 检查密钥环文件：密钥环数据通常存储在~/.local/share/keyrings/目录下。列出该目录内容：

  ls -la ~/.local/share/keyrings/

  你会看到类似login.keyring、user.keystore等文件。注意它们的权限，应该是你的用户可读写。
• 查看应用程序错误日志：有些应用在无法访问密钥环时，会在终端输出或系统日志中留下线索。尝试从终端启动一个有问题的应用（如google-chrome-stable或evolution），观察启动时的错误信息。

5.2 处理多密钥环或错误默认密钥环

有时用户可能无意中创建了多个密钥环，而应用程序尝试访问的不是“登录”密钥环。

1. 打开seahorse。
2. 查看左侧列表，除了“登录”，是否还有名为“默认”或其他名称的密钥环。
3. 如果“登录”密钥环已解锁且密码正确，但应用仍提示解锁另一个密钥环（如“默认”），你可以尝试：
   • 将“默认”密钥环的密码也改为登录密码。
   • 或者，在应用程序的设置中查找密码存储相关的选项，看是否能指定使用“登录”密钥环。例如，在Chrome/Chromium中，可以通过启动参数--password-store=gnome或--password-store=basic来改变其行为。

5.3 更改默认密钥环密码存储后端

某些应用程序，特别是非GNOME系或跨平台的软件，可能不使用标准的gnome-keyring，而是用了其他后端，如kwallet（KDE）或libsecret。如果它们配置不当，也会引起混乱。

• 对于Chrome/Chromium：可以尝试在启动命令中加入--password-store=basic。这会使用其内置的简单加密存储，完全绕过系统的密钥环服务。你可以通过修改桌面启动器文件（/usr/share/applications/google-chrome.desktop或用户目录下的副本）中的Exec行来永久设置。
• 检查libsecret配置：libsecret是一个抽象层，可以让应用选择不同的密码服务后端。运行secret-tool search --all可以列出当前通过libsecret存储的条目。如果问题与之相关，可能需要检查相关应用（如Git）的凭据助手配置。

5.4 核武器：重置整个密钥环系统

如果所有方法都失败，密钥环系统似乎完全混乱，可以考虑“推倒重来”。注意：这会删除所有已保存的密码！包括浏览器保存的网站密码、Wi-Fi密码、邮件客户端密码等。请确保你记得重要账户的密码。

1. 备份旧的密钥环文件（可选，以防万一）：

   mv ~/.local/share/keyrings ~/.local/share/keyrings.backup

2. 注销当前用户，并完全退出图形界面（如果可能，切换到TTY，如Ctrl+Alt+F3）。
3. 删除密钥环目录和配置文件：

   rm -rf ~/.local/share/keyrings rm -rf ~/.cache/keyring-*

   （注意：此操作不可逆，请再次确认你已备份或可以承受丢失密码的后果）。
4. 重新登录图形界面。系统会像新用户一样，自动创建一个全新的、空的密钥环。首次使用时，系统会提示你设置密码，此时务必将其设置为与你的用户登录密码相同。
5. 之后，你需要重新在各个应用程序中保存密码。

这个方法的优点是干净彻底，能解决绝大多数因底层文件损坏或配置错乱导致的问题。缺点是前期需要花时间重新保存密码。

6. 不同场景下的最佳实践选择

面对“解锁密钥环”的弹窗，不必慌张。根据你的具体情况，按以下流程图选择最合适的解决路径，可以最高效地解决问题：

首先，确认你的使用场景：

• A. 普通手动登录用户：每次开机或注销后，都需要输入密码进入桌面。
• B. 设置了自动登录的用户：开机后直接进入桌面，无需输入密码。
• C. 服务器/无头（Headless）系统或远程桌面用户：通过SSH、VNC等方式访问，没有完整的图形登录流程。

对于场景A（普通手动登录用户）： 这是最常见的情况。核心原因是登录密码与密钥环密码不同步。

1. 首选方案：直接使用方法一（第2章），通过seahorse图形工具或命令行，将“登录”密钥环的密码修改为当前系统的用户登录密码。修改后，务必注销并重新登录，让新的关联生效。90%的问题可以通过这一步解决。
2. 如果无效：检查你是否使用了多个密钥环（如“默认”和“登录”）。在seahorse中确保所有密钥环密码都已更新。同时，检查PAM配置（/etc/pam.d/下的common-auth,common-session,common-password以及lightdm或gdm-password），确保包含pam_gnome_keyring.so的配置行存在且未被注释。可以参考方法二中关于PAM配置的部分。
3. 作为最后手段：如果怀疑密钥环文件损坏，再考虑方法三（第4章）中的“设置空密码”或第5.4节的“重置整个密钥环系统”。务必优先备份重要密码。

对于场景B（自动登录用户）： 因为跳过了输入密码的环节，密钥环服务没有得到解锁指令。

1. 推荐方案：采用方法二（第3章）。优先尝试3.2 使用pam_keyring。先暂时关闭自动登录，用手动登录一次，确保密钥环密码与登录密码同步并成功解锁。然后重新启用自动登录，并配置好PAM模块。这样在后续自动登录时，PAM会协助完成解锁。
2. 备选方案：如果PAM配置复杂或无效，再使用3.1 创建自动启动脚本。但务必注意脚本中明文密码的安全风险，仅用于可信的私人环境。
3. 根本性调整：思考是否真的需要自动登录。禁用自动登录，回归手动输入密码，是安全性最高、也最能避免此类问题的方式。

对于场景C（服务器/远程访问用户）： 在这种没有完整图形登录会话的环境下，密钥环可能无法正常启动或解锁。

1. 最佳实践：避免在此类环境中使用依赖图形界面密钥环的服务。对于需要存储凭据的应用（如Git），配置其使用其他凭据存储方式。例如，Git可以配置使用cache或store模式（安全性较低），或者使用SSH密钥而非HTTPS密码。

   # 设置Git使用内存缓存凭据（默认15分钟） git config --global credential.helper cache # 或者使用“store”模式（将凭据明文保存在文件中，不推荐） # git config --global credential.helper store

2. 如果必须使用：可以尝试在远程会话的启动脚本（如~/.bashrc或~/.profile）中，手动启动密钥环守护进程并解锁，但过程繁琐且不稳定。更建议寻找替代的密码管理方案。

通用排查口诀：

• 先同步，后登录：确保密钥环密码与用户密码一致，然后通过完整的“注销-登录”循环来刷新会话。
• 看进程，查文件：用ps和ls命令确认gnome-keyring-daemon在运行，且~/.local/share/keyrings/下的文件权限正常。
• 分场景，选策略：不要盲目尝试。明确自己是手动登录、自动登录还是远程访问，选择对应的解决方案。
• 安全与便利的权衡：空密码和禁用服务是“快刀斩乱麻”的方法，但会牺牲安全性。仅在个人设备且存储的密码非关键时考虑。

这个弹窗本质上是Linux桌面安全机制（密钥环）与用户登录流程之间的一次“小误会”。通过理解其原理，并针对性地调整密码同步、登录配置或应用行为，你完全可以驯服它，让系统在安全与便利之间达到你想要的平衡。