ssh私钥文件权限必须设为600，否则openssh拒绝使用；脚本需检查存在性、验证私钥类型、强制chmod 600并chown确保属主正确，公钥建议644，批量处理时用find定位私钥并跳过非目标文件。

SSH密钥文件权限必须为 600（即仅所有者可读写），否则 OpenSSH 会拒绝使用，报错如 "UNPROTECTED PRIVATE KEY FILE!"。自动化脚本需在生成、分发或部署密钥时立即修复权限，避免人工遗漏。

检查并修复私钥文件权限

脚本应先判断目标文件是否存在且为私钥（通常以 id_rsa、id_ed25519 或自定义名结尾），再强制设为 600：

• 用 stat -c "%a" "$keyfile"（Linux）或 stat -f "%Lp" "$keyfile"（macOS）获取当前权限
• 若非 600，执行 chmod 600 "$keyfile"
• 建议加 chown $USER:$USER "$keyfile" 确保属主正确（尤其在 root 下生成后切换用户场景）

生成密钥时直接设定合规权限

使用 ssh-keygen 时，默认已创建 600 权限的私钥，但脚本中仍需验证：

• 调用 ssh-keygen -t ed25519 -f "$keyfile" -N "" 生成无密语密钥
• 紧接执行 chmod 600 "$keyfile" —— 不依赖默认行为，确保跨平台一致
• 公钥（.pub 文件）权限建议设为 644，不影响 SSH 连接但利于协作分发

批量处理多密钥或用户目录

在 CI/CD 或服务器初始化场景中，常需遍历多个用户家目录下的 .ssh 目录：

• 用 find /home -maxdepth 3 -name "id_*" -type f -path "*/.ssh/*" 定位私钥
• 对每个结果运行 chmod 600 {} \;，并跳过已符合的文件（可用 -not -perm 600 优化）
• 注意排除 authorized_keys 和 known_hosts 等非私钥文件，避免误改

集成到部署流程的实用技巧

在 Ansible、Shell 部署脚本或容器启动脚本中嵌入权限校验逻辑：

• 添加函数 ensure_ssh_key_perms() { chmod 600 "$1" 2>/dev/null || exit 1; }
• 执行前用 [[ -f "$keyfile" ]] && [[ -r "$keyfile" ]] || { echo "密钥不存在"; exit 1; } 做前置检查
• 日志中明确记录修复动作，例如：echo "[INFO] Fixed permissions on $keyfile → 600"

不复杂但容易忽略 —— 权限合规不是“生成完就结束”，而要在每次密钥落地时主动加固。