如何配置Sshd_config的StrictModes强制要求严格核验文件全路径-linux运维-PHP中文网

strictmodes是openssh服务端的安全机制，用于在认证前严格检查用户主目录、.ssh目录及authorized_keys文件的所有权和权限：主目录与.ssh目录须为700且属用户自身，authorized_keys须为600；默认启用且作用路径固定，不支持自定义。

如何配置sshd_config的strictmodes强制要求严格核验文件全路径

StrictModes 是 OpenSSH 服务端（sshd）的一项关键安全机制，它不是用来“强制要求全路径核验”，而是控制 SSH 在认证前是否检查用户家目录及 .ssh 相关文件的所有权（owner）和权限（mode）是否足够严格。它的作用范围是固定的、硬编码的路径集合，不支持自定义“全路径列表”或通配符扩展。

如果你遇到免密登录失败、server refused our key 或控制器无法启停成员等问题，且临时关闭 StrictModes 后恢复正常，说明问题根源正是这些路径的权限或归属不符合 SSH 的默认安全策略。

以下是真正有效的配置与修复方式：

✅ 正确理解 StrictModes 的作用范围

StrictModes yes（默认启用）会强制检查以下固定路径：

用户的主目录（如 /home/username）
主目录下的 .ssh/ 目录（即 $HOME/.ssh）
.ssh/authorized_keys 文件
（部分场景还涉及 ~/.ssh/id_rsa 等私钥文件，但主要是服务端校验时读取 authorized_keys）

它不会检查任意路径，也不会校验 /etc/ssh/ 下的系统级密钥（如 ssh_host_rsa_key），那些由 HostKey 指定，走另一套验证逻辑。

✅ 必须满足的权限与归属规则

对每个被检查路径，需同时满足：

所有权正确：目录/文件必须属于该登录用户（不能是 root 或其他用户）
权限足够严格：
- 主目录：700（仅属主可读写执行）
- .ssh/ 目录：700
- .ssh/authorized_keys：600（仅属主可读写）
- .ssh/id_rsa（若用作客户端密钥）：600
- .ssh/id_rsa.pub：可放宽至 644（因公钥本就可公开）

⚠️ 常见错误：权限设为 755、775、644，或目录属组为 wheel/sshusers 但未禁写；或 authorized_keys 属于 root 却用普通用户登录。

✅ 配置与验证步骤

编辑 /etc/ssh/sshd_config，确认存在且未注释：
```
StrictModes yes
```

修正目标用户的文件权限（以 deploy 用户为例）：

sudo chown -R deploy:deploy /home/deploy
sudo chmod 700 /home/deploy
sudo chmod 700 /home/deploy/.ssh
sudo chmod 600 /home/deploy/.ssh/authorized_keys