如何利用SSH密钥的ForceCommand选项强制运行环境自查脚本教程-安全-PHP中文网

最稳妥方式是结合forcecommand（服务端强制）与登录初始化文件（用户侧触发）：前者用于专用账号统一管控，后者适配普通用户静默自查，均需脚本轻量、日志隔离、安全收口。

如何利用ssh密钥的forcecommand选项强制运行环境自查脚本教程

要让SSH用户登录后自动运行环境自查脚本，同时确保不干扰正常交互、不暴露敏感信息、还能精准控制执行时机，最稳妥的方式是结合 ForceCommand（服务端强制）与登录初始化文件（用户侧触发）两种机制，按需选用——前者适合统一管控、强隔离场景；后者更灵活、易调试、不影响其他用户。下面分两类讲清楚怎么配、为什么这么配。

用 ForceCommand 全局强制执行（适合运维/审计账号）

适用于专用账号（如 audit、checkbot），登录即跑脚本、不进 shell、不可绕过：

编辑 /etc/ssh/sshd_config，添加匹配块（避免影响 root 或管理员）：

Match User audit<br>
  ForceCommand /usr/local/bin/env-check.sh<br>
  PermitTTY no<br>
  AllowTcpForwarding no

/usr/local/bin/env-check.sh 必须是绝对路径、可执行（chmod +x）、且末尾加 exec /bin/bash -l 才能继续交互（若需）；若只查不交互，就不用 exec
脚本内聚焦轻量检查：确认 SSH 密码登录是否禁用、关键目录权限（~/.ssh 是否为 700）、最近 sudoers 变更、可疑 UID=0 账户等——不调网络、不扫全盘、不输出密钥
重启服务：sudo systemctl restart sshd，再用 ssh audit@host 测试，看日志 /var/log/auth.log 是否记录 ForceCommand 触发

在用户登录文件中条件触发（适合普通开发者账号）

适用于已有账号，希望每次登录时静默自查一次（首次或每日），不破坏原有 shell 体验：

选对启动文件：~/.bash_profile（bash 用户）或 ~/.zprofile（zsh 用户）；别用 ~/.bashrc，否则 scp/sftp 也会误执行

在文件末尾加入带保护逻辑的调用：

if [ -t 1 ] && [ ! -f ~/.env_check_today ]; then<br>
  ~/bin/env-check.sh >> ~/logs/env-check-$(date +%Y%m%d).log 2>&1<br>
  touch ~/.env_check_today<br>
fi

脚本自身要加错误捕获和超时控制（例如用 timeout 10s 包裹耗时命令），避免卡住登录流程；严重问题可用 echo -e "\a" 提示蜂鸣
验证方式：新开终端执行 ssh -o ConnectTimeout=5 user@localhost，观察是否静默完成、日志是否生成、交互提示符是否正常出现

自查脚本内容设计要点（两类都适用）

脚本不是功能越多越好，而是要“快、准、稳”：

检查 /etc/ssh/sshd_config 中 PasswordAuthentication no 是否生效（用 sshd -T | grep passwordauthentication）
确认 ~/.ssh/authorized_keys 权限为 600、~/.ssh 目录为 700（stat -c "%a %n" ~/.ssh ~/.ssh/authorized_keys）
扫描最近 1 小时新增的 cron 任务：find /var/spool/cron -mmin -60 -type f 2>/dev/null
检测是否有非标准 shell 用户：awk -F: '$7 !~ /\/(bash|zsh|sh)$/ && $3 > 999 {print}' /etc/passwd
所有输出重定向到日志，不 echo 到终端；不使用 sudo 或 su，除非明确以 root 身份运行（应另设专用账号）