ssh-add -t 比 ssh-agent -t 更精准常用，因后者仅设默认过期时间，而 ssh-add -t 可显式覆盖并精确控制单个密钥有效期，支持秒数或单位格式（如30m），配合 ssh-add -l -E md5 可验证生效。
直接用 ssh-add -t 为私钥设过期时间，比在 ssh-agent 启动时用 -t 更精准、更常用。因为 ssh-agent -t 只设“后续添加密钥的默认最大存活期”，而实际是否生效，取决于你调用 ssh-add 时有没有显式覆盖它——多数人恰恰忘了这一步。
为什么 -t 放在 ssh-agent 启动里效果有限
ssh-agent -t 3600 确实会把新添加密钥的默认生命周期设为 1 小时，但这个设定仅对后续未指定 -t 的 ssh-add 命令起作用。一旦你运行 ssh-add ~/.ssh/id_rsa（没带 -t），它就按默认走；可如果你运行 ssh-add -t 86400 ~/.ssh/id_rsa，那 24 小时就覆盖了 agent 的 1 小时设定。所以真正控制单个密钥驻留时长的，是 ssh-add -t 这一动作本身。
正确设置自动过期的操作方式
- 加载密钥时明确指定有效期：
ssh-add -t 1800 ~/.ssh/id_ed25519（30 分钟后自动从 agent 内存中清除） - 支持多种时间格式：可写秒数（如
1800），也可写带单位的字符串（如30m、2h、1d） - 查看当前所有已加载密钥及其剩余有效期：
ssh-add -l -E md5（加-E可让指纹显示更紧凑） - 验证是否生效：等超时后再次执行
ssh-add -l，对应密钥条目将消失；尝试 ssh 连接也会提示 “no identities available”
配合会话管理提升安全性
单靠 -t 不足以防 dump，需叠加运行时约束：
- 每次新开终端都启动干净的 agent：在
~/.zshrc或~/.bashrc中加pkill -u "$USER" ssh-agent &> /dev/null; eval "$(ssh-agent -s)" - 避免密钥被长期复用：不要把
ssh-add -t写进开机自启脚本；应在需要时手动或通过可信 wrapper 脚本触发 - 敏感操作后主动清理：执行完关键任务，立即运行
ssh-add -D清空全部，或ssh-add -d keyfile卸载特定密钥
注意几个易错点
这些情况会导致 -t 失效或难以察觉：
- 用了
ssh-add -K（macOS 钥匙串集成）：此时密钥由钥匙串管理，-t被忽略，应改用钥匙串策略或禁用-K - 后台进程（如 cron、systemd service）持有 agent 句柄：它们不继承 shell 的超时逻辑，需单独配置其 own agent 生命周期
- 误以为
ssh-agent -k能清空内存：它只杀进程，不保证密钥已释放——必须先ssh-add -D，再ssh-agent -k才彻底
