qoderwake环境ssh密钥配置需五步：一、用ssh-keygen -t ed25519生成带强密码的密钥；二、ssh-copy-id或手动注入公钥至authorized_keys并设chmod 600；三、/etc/ssh/sshd_config中启用pubkeyauthentication yes、禁用passwordauthentication no；四、改端口（如2222）并用防火墙限ip；五、严格校验客户端和服务端.ssh目录及文件权限（700/600）。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您正在为QoderWake环境配置远程访问安全机制，而仅依赖密码登录，则面临暴力破解、会话劫持与凭证泄露等高风险。以下是针对SSH密钥生成、分发、服务端启用及权限加固的完整操作路径：
一、生成高强度SSH密钥对
使用现代非对称加密算法生成密钥对，可规避RSA-1024等弱算法漏洞，确保私钥不可逆推、抗量子计算初步威胁。Ed25519是当前OpenSSH推荐的默认算法，签名速度快、密钥体积小、安全性强。
1、打开本地终端，执行以下命令生成Ed25519密钥对：
ssh-keygen -t ed25519 -C "qoderwake-admin@company.com"
2、当提示“Enter a file in which to save the key”时，直接回车使用默认路径 ~/.ssh/id_ed25519
3、当提示“Enter passphrase”时，必须输入至少12位含大小写字母、数字和符号的passphrase
4、确认生成后，检查私钥文件权限是否为600：
ls -l ~/.ssh/id_ed25519
二、将公钥安全注入QoderWake服务器
公钥需准确写入目标用户家目录下的authorized_keys文件，且该文件不得存在多余空行或格式错误，否则SSH守护进程将拒绝认证请求。
1、在客户端执行命令，自动完成公钥上传与权限设置：
ssh-copy-id -i ~/.ssh/id_ed25519.pub -p 2222 user@qoderwake-server-ip
2、若ssh-copy-id不可用，手动执行以下步骤：
在客户端运行：cat ~/.ssh/id_ed25519.pub
3、登录服务器后，依次执行：
mkdir -p ~/.ssh && chmod 700 ~/.ssh
4、将上一步输出的整行公钥内容（以ssh-ed25519开头，结尾含邮箱）粘贴至：
echo "ssh-ed25519 AAAA...user@company.com" >> ~/.ssh/authorized_keys
5、立即设置authorized_keys权限：
chmod 600 ~/.ssh/authorized_keys
三、强制启用密钥认证并禁用密码登录
仅生成密钥而不关闭密码通道，等同于保留后门；OpenSSH必须通过sshd_config显式关闭密码验证路径，才能杜绝暴力尝试可能。
1、以root权限编辑SSH服务配置文件：
sudo nano /etc/ssh/sshd_config
代码编辑 CLI 工具集合：Cursor CLI（agent）和 Qoder CLI（qodercli），用于代码修改、重构、Code Review 及自动化代码任务。
2、定位并修改以下三行参数：
PubkeyAuthentication yes
PasswordAuthentication no
ChallengeResponseAuthentication no
3、确保PermitRootLogin值为 prohibit-password 或 no，而非yes
4、保存退出后，重启SSH服务使配置生效：
sudo systemctl restart sshd
四、限制SSH访问源与端口暴露面
减少攻击面是纵深防御的第一环。非必要不开放22端口，且应通过网络层策略限定可连接IP范围，避免全网扫描命中。
1、修改SSH监听端口（例如改为2222）：
在/etc/ssh/sshd_config中取消Port注释并设为：Port 2222
2、配置防火墙仅放行指定管理IP段：
sudo ufw allow from 192.168.10.0/24 to any port 2222
3、禁用所有其他SSH相关端口规则：
sudo ufw deny 22 && sudo ufw deny 2223
4、启用防火墙并验证状态：
sudo ufw enable && sudo ufw status verbose
五、实施私钥文件与目录权限硬约束
OpenSSH在启动认证流程前会校验关键路径权限，若.ssh目录被设为755或私钥文件为644，连接将被静默拒绝，并在/var/log/auth.log中记录“Bad permissions”错误。
1、在客户端执行以下权限修复命令：
chmod 700 ~/.ssh && chmod 600 ~/.ssh/id_ed25519 && chmod 644 ~/.ssh/id_ed25519.pub
2、在服务器端同步校验用户主目录下.ssh结构：
ls -ld ~ && ls -ld ~/.ssh && ls -l ~/.ssh/authorized_keys
3、确认输出中无"group"或"other"列出现r、w、x权限字符：
任何包含-rw-r--r--或drwxr-xr-x的结果均需立即修正
4、若使用root账户部署，还需额外执行：
chown -R user:user ~/.ssh && chmod 700 ~/.ssh
