定期清空 known_hosts 中废弃条目需精准识别、按需清理，避免误删可信主机并阻断信任链污染；废弃条目包括下线超30天的测试主机、闲置超14天的临时云服务器、域名已变更主机及Apifox等高风险工具缓存中的记录。

定期清空 known_hosts 中废弃条目，关键不是“全删”，而是精准识别、按需清理，避免误伤可信主机，同时阻断因旧记录残留引发的信任链污染（比如被恶意软件读取后用于横向扫描或伪造跳板）。

一、明确哪些条目属于“废弃信息”

废弃 ≠ 过期，而是指已失去业务关联或安全可控性的记录：

• 测试环境主机（如 test-db2、staging-api-01）已下线超过30天
• 临时云服务器（IP含 10.0.x.x、172.16.x.x 或短期ECS公网IP）未再连接超14天
• 域名指向已变更的主机（例如原 old-jenkins.example.com 已停用，新CI平台用不同域名）
• 出现在 Apifox 等高风险工具历史缓存中的条目（2026年3月4–22日使用过该客户端的用户，known_hosts 应视为潜在泄露面）

二、建立可维护的废弃主机清单

不依赖记忆，用轻量文本管理待清理目标：

GitHub Hosts CN

GitHub Hosts 更新工具（仅限中国用户），安全更新系统hosts文件，保留原有非GitHub条目，仅替换GitHub相关地址。支持备份恢复和风险提示。用于解决GitHub访问问题。

下载

• 在 ~/.ssh/ 下新建 obsolete_hosts.txt，每行一个主机名或IP
• 内容示例：
  

  dev-vm-2025<br>192.168.50.12<br>legacy-git.internal

• 每次下线服务或更换测试机时，顺手追加一行，避免事后追溯遗漏

三、自动化清理脚本（推荐每周执行）

将清理动作固化为可审计、可复现的操作：

• 创建脚本 ~/bin/clean-known-hosts.sh：

#!/bin/bash
# 只清理明确标记为废弃的条目
if [ -f ~/.ssh/obsolete_hosts.txt ]; then
  while IFS= read -r host; do
    [ -n "$host" ] && ssh-keygen -R "$host" >/dev/null 2>&1
  done fi
# 可选：对半年未访问的IP段做辅助扫描（仅限内网）
# grep -E '^(10\.|172\.(1[6-9]|2[0-9]|3[0-1])\.|192\.168\.)' ~/.ssh/known_hosts | cut -d' ' -f1 | while read ip; do
#   if ! ping -c1 -W1 "$ip" &>/dev/null; then ssh-keygen -R "$ip"; fi
# done

• 赋予执行权限：chmod +x ~/bin/clean-known-hosts.sh
• 加入 weekly cron：0 2 * * 0 ~/bin/clean-known-hosts.sh（每周日凌晨2点运行）

四、配合 SSH 配置增强可信边界

光清不够，要让新增记录更可控：

• 在 ~/.ssh/config 中为生产主机显式启用严格校验：
  

  Host prod-*<br>  StrictHostKeyChecking yes<br>  UserKnownHostsFile ~/.ssh/known_hosts_prod

• 把生产主机密钥单独存到 known_hosts_prod，与日常开发记录物理隔离
• 禁用通配符主机自动写入：UpdateHostKeys no（防止未知主机悄悄混入）