ssh-keygen -y（小写y）才是从私钥安全提取公钥的正确命令，-y（大写y）仅用于签名验证且不支持私钥读取；提取后可用ssh-keygen -l比对指纹验证一致性。
注意：ssh-keygen -Y 并不支持从私钥反向提取公钥。这是常见误解。
ssh-keygen -Y 是 OpenSSH 8.0+ 引入的签名验证与策略扩展工具，专用于 sign, verify, check-novalidate 等基于 OpenSSH 的证书签名和策略校验场景，它不能读取私钥、也不具备导出公钥的功能。
✅ 正确且标准的做法是使用 ssh-keygen -y（小写 y），而非 -Y（大写 Y）。
用 ssh-keygen -y 从私钥安全提取原始公钥
只要私钥未加密（或你愿意输入密码），`-y` 选项可无损输出对应公钥，格式完全兼容 authorized_keys：
-
未加密私钥（如 id_rsa_nopass）：
ssh-keygen -y -f ~/.ssh/id_rsa_nopass -
已加密私钥（会提示输入密码）：
ssh-keygen -y -f ~/.ssh/id_rsa -
重定向保存到 authorized_keys（追加）：
ssh-keygen -y -f ~/.ssh/id_rsa >> ~/.ssh/authorized_keys
⚠️ 输出的公钥是纯文本单行（含 type、base64、comment），与 ssh-keygen -t rsa 生成的公钥格式完全一致，可直接用于认证。
验证提取结果是否可用
提取后建议快速验证公钥是否与私钥真正匹配：
- 运行：
ssh-keygen -l -f ~/.ssh/id_rsa→ 显示私钥指纹 - 对提取出的公钥（如存为
id_rsa.pub）运行：ssh-keygen -l -f id_rsa.pub - 两处显示的 指纹（SHA256 或 MD5）必须完全一致，否则说明操作有误或私钥损坏
常见问题与绕过限制的方法
-
权限拒绝？确保私钥文件权限为
600：chmod 600 ~/.ssh/id_rsa -
“Load key … failed”？检查私钥是否被意外修改（如 Windows 换行符、BOM、多余空格），可用
file ~/.ssh/id_rsa和head -n2 ~/.ssh/id_rsa确认格式是否为标准 PEM（以-----BEGIN OPENSSH PRIVATE KEY-----或-----BEGIN RSA PRIVATE KEY-----开头） -
OpenSSH 8.8+ 默认禁用 ssh-rsa（SHA-1）？若私钥是老式
ssh-rsa类型，提取的公钥仍可用，但需服务端保留PubkeyAcceptedAlgorithms +ssh-rsa才能登录（不推荐长期启用）
替代方案：用 ssh-add（适用于已加载的私钥）
如果私钥已通过 ssh-add 加载进 ssh-agent，也可间接导出：
-
ssh-add -L→ 列出所有已加载的公钥（含注释），第一行即当前私钥对应的公钥 - 注意：该方法依赖 agent 正常运行，且不适用于未添加或已过期的密钥
不复杂但容易忽略。
