CI/CD中scp上传XML失败主因是SSH密钥未预置、目标目录不存在、权限不足或主机指纹未确认；应改用rsync+--mkpath或sftp+expect，并校验MD5与XML格式。
CI/CD中用scp上传XML配置文件失败的常见原因
直接在CI/CD脚本里写 scp config.xml user@host:/path/ 很容易卡住或报错，核心问题不是命令本身，而是缺少前置条件：SSH密钥未预置、目标目录不存在、权限不足、或SSH主机指纹未确认。
- GitLab CI / GitHub Actions 默认不保存 SSH host key，首次连接会 hang 住等待交互确认
-
scp不会自动创建远程父目录，/opt/app/conf/不存在时直接失败 - 使用密码登录在自动化流程中不可行，必须用免密私钥，且私钥不能被 CI 环境变量明文暴露
GitHub Actions 中安全上传 XML 的最小可行配置
关键是把私钥存为 Secrets，用 webfactory/ssh-agent 注入，再用 rsync 替代 scp ——它支持 --mkpath 自动建目录，也更容错。
jobs:
deploy:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- name: Set up SSH agent
uses: webfactory/ssh-agent@v0.8.0
with:
ssh-private-key: ${{ secrets.SSH_PRIVATE_KEY }}
- name: Upload config.xml
run: |
rsync -avz --mkpath config.xml user@${{ secrets.HOST }}:/opt/app/conf/config.xml
注意：secrets.HOST 和 secrets.SSH_PRIVATE_KEY 需提前在仓库 Settings → Secrets and variables → Actions 中添加；SSH_PRIVATE_KEY 必须是 PEM 格式且无密码保护（CI 不支持交互输密）。
GitLab CI 使用 sftp + expect 脚本规避交互问题
GitLab Runner 默认不装 ssh-agent，且 rsync 可能未预装。用 sftp 加 expect 脚本是最轻量兼容方案，重点是跳过 host key 检查和自动确认。
- 写一个
upload.exp脚本，内含spawn sftp -o StrictHostKeyChecking=no user@host - 用
expect匹配sftp>提示符后执行put config.xml /opt/app/conf/ - CI job 中先
apt-get install -y expect，再运行该脚本 - 私钥通过
SSH_PRIVATE_KEY变量写入临时文件，并chmod 600，否则sftp拒绝使用
上传后校验 XML 是否完整、可读
仅靠上传成功不等于配置生效——网络中断可能只传了半份，或目标磁盘满导致写入截断。加一步简单校验能避免后续服务启动失败。
- 在上传后立刻执行
ssh user@host 'ls -l /opt/app/conf/config.xml && md5sum /opt/app/conf/config.xml' - 本地也计算一次
md5sum config.xml，两者比对（CI 中可用diff或简单字符串匹配） - 更进一步：用
ssh user@host 'xmllint --noout /opt/app/conf/config.xml 2>/dev/null'验证格式合法
别忽略远程路径的 SELinux 上下文或 umask 导致的权限问题——如果应用以非 root 用户运行，确保 config.xml 至少有 644 权限，且父目录可遍历。
