passwd: compat の場合、メカニズム云々じゃなくて、
passwdの中に +::::::::: があるかどうかを
判断しなければならないことは、原理的に避けられないよ。

いまどき passwd: compat で嬉しい人はほとんどいないから、
デフォルトくらい変更しておくべき。