ssh指纹验证是建立可信路径防中间人攻击，需服务器端在可信渠道公布真实指纹，客户端首次连接时逐字符核对，不匹配即中断；批量环境应通过ssh-keyscan与ansible自动化管理，严禁跳过验证或使用不安全渠道传递指纹。

SSH 指纹验证不是“配个参数就完事”，而是建立一条可信路径：从服务器端真实密钥出发，经确定哈希方式输出，再由客户端严格比对。它防的不是密码泄露，而是连接被悄悄掉包——也就是中间人攻击。

从服务器端准确提取真实指纹

管理员必须在可信渠道（如云平台控制台、内网工单系统、加密邮件）提前公布指纹，不能靠远程抓取或截图传递。操作命令如下：

• 登录服务器后，执行：for f in /etc/ssh/ssh_host_*_key.pub; do [ -f "$f" ] && ssh-keygen -E sha256 -lf "$f" | awk '{printf "%-10s %s\n", $4, $2}'; done
• 输出示例：ED25519 SHA256:Abc123xyz、RSA SHA256:Def456uvw
• 建议重定向保存为带时间戳的文件：> fingerprints-$(hostname)-$(date +%F).txt，便于归档与后续审计

客户端首次连接时必须人工核对

当你运行 ssh user@host，终端提示类似以下内容时，必须暂停操作：

PyCharm 2026.2.0.1 Linux版

PyCharm 2026.2.0.1 Linux版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合需要指定 PyCharm 版本进行 Python 项目开发、运行和调试的用户。

下载

The authenticity of host '192.168.1.100' can't be established.
ED25519 key fingerprint is SHA256:jXTHHEc4JqmxJ6mObXJ3V/L3LZ5D+JQ7pYJ7pYJ7pYJ7.

• 将这整行 SHA256:... 与服务器端原始输出逐字符比对，区分大小写，不可省略任何字符
• 不匹配就立即输入 no 中断连接，不要删 known_hosts 或跳过警告
• 若确认是密钥轮换，需同步更新所有客户端记录，并通知全部运维人员

批量环境用自动化闭环替代人工

管理数十台以上服务器时，靠人工比对不可持续。可行方案包括：

• 用 ssh-keyscan -t ed25519 host 提前采集新指纹（仅限内网直连等可信链路）
• 通过 Ansible 的 known_hosts 模块批量注入已审批指纹，设置 state: present
• Ansible playbook 中加入校验任务：command: ssh-keygen -E sha256 -lf /etc/ssh/ssh_host_ed25519_key.pub，确保服务端密钥生效且格式一致

避开常见安全误区

这些做法等于主动关闭防护门：

• 在公共 WiFi 下直接输 yes 接受未知指纹
• 配置 StrictHostKeyChecking=no 或 CheckHostIP no
• 用微信、短信、普通邮箱发送指纹（无加密、可篡改）
• 发现 WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! 后直接 ssh-keygen -R 删除再重连
• 认为“内网很安全”就跳过验证——内部误配置或横向渗透同样会导致密钥异常