ssh-add -l可直接查看当前ssh-agent中加载的密钥及其sha256指纹，每行含位数、指纹、路径与算法，用于快速识别异常密钥；需结合$ssh_auth_sock确认代理归属，并建议配合-t限时加载和-d及时清理以提升安全性。
直接用 ssh-add -l 就能快速确认当前内存中加载了哪些密钥及其指纹，这是防止私钥被意外转发或劫持的第一道防线。
查看已加载密钥的指纹
运行以下命令：
ssh-add -l
它会输出类似这样的内容：
4096 SHA256:AbC123...xyz /home/user/.ssh/id_rsa (RSA)
256 SHA256:XyZ789...def /home/user/.ssh/id_ed25519 (ED25519)
每行包含三部分：密钥位数、SHA256指纹、路径和算法类型。指纹是验证密钥身份的核心依据，不是文件名，也不是路径。
比对指纹识别异常密钥
如果你只期望加载某一把密钥（比如 id_ed25519），但 ssh-add -l 显示多条记录，尤其是路径陌生、算法老旧（如 ssh-rsa）、或指纹与你本地生成时不符，就需警惕：
- 检查是否误执行了
ssh-add无参数命令（它会自动加载默认密钥） - 确认没有脚本或 IDE（如 VS Code Remote-SSH）静默加载了其他密钥
- 若发现未知指纹，立即用
ssh-add -D清空全部，再手动加载可信密钥
结合环境变量确认代理状态
仅看 ssh-add -l 不够，还需确认该输出是否来自你本地的 agent，而非被转发的远程 agent：
- 在本地终端运行
echo $SSH_AUTH_SOCK，应返回一个本地路径（如/tmp/ssh-XXXXXX/agent.XXXX） - 如果已登录远程服务器，再运行该命令——若输出非空，说明 agent 被转发了，此时
ssh-add -l显示的是你本地密钥，但正暴露给远程端 - 高危场景下（如跳板机、CI 构建节点），应确保
ForwardAgent no已配置，且$SSH_AUTH_SOCK在远程端为空
定期清理与限时加载更安全
避免长期驻留敏感密钥：
- 用
ssh-add -t 3600 ~/.ssh/id_ed25519设置 1 小时自动过期，超时后需重新输入密码 - 临时任务完成后，执行
ssh-add -D彻底清空，尤其在共享或公共设备上 - 生成密钥时加注释（
-C "work-laptop-2026"），让ssh-add -l输出更易识别来源
