OpenSSH 8.8+ 默认禁用不安全的 ssh-rsa（SHA-1），应使用 ssh-keygen -t ed25519 生成密钥；私钥权限须为600、目录700；公钥需正确部署至 remote authorized_keys（权限600）；多密钥时应在 ~/.ssh/config 中显式指定 IdentityFile。

ssh-keygen 默认生成的密钥类型不安全

OpenSSH 8.8+ 已默认禁用 ssh-rsa（即 SHA-1 签名），如果你用老教程跑 ssh-keygen 不加参数，很可能生成一个被新版本服务端拒绝的密钥。不是“没生效”，而是连接时直接报错：no mutual signature algorithm 或 key type ssh-rsa not supported。

实操建议：

Browser Setup (No-Root Linux)

在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...

下载

• 明确指定现代算法：优先用 ssh-keygen -t ed25519 -C "your_email@example.com"
• 若需兼容极老系统（如 CentOS 6、某些嵌入式设备），改用 ssh-keygen -t rsa -b 4096，但别用 -b 2048 —— OpenSSH 9.0+ 已警告 2048 位 RSA 弱于当前标准
• -C 后的邮箱只是注释，不参与认证，可写任意标识（比如 "prod-server-2024"）

私钥权限不对会导致 SSH 拒绝加载

OpenSSH 对私钥文件权限极其敏感。哪怕只是多了一个组可读位，ssh 就会静默忽略该密钥，并 fallback 到密码登录（如果允许）或直接失败。常见现象是：ssh -v 日志里出现 Offering public key: /path/id_ed25519，但紧接着跳过，不尝试签名。

实操建议：

• 生成后立刻执行：chmod 600 ~/.ssh/id_ed25519
• 确认目录权限：chmod 700 ~/.ssh（不能是 755，否则部分 OpenSSH 版本拒绝读取）
• 别用 sudo 生成密钥 —— 私钥归属变成 root，普通用户无法读取

公钥没正确部署到远程服务器的 authorized_keys

很多人把 id_ed25519.pub 文件整个复制过去，结果发现还是密码登录。问题常出在三处：格式换行、多余空格、权限错误。

实操建议：

• 用 ssh-copy-id 自动完成（推荐）：ssh-copy-id -i ~/.ssh/id_ed25519.pub user@host，它会自动处理追加、权限和目录创建
• 手动操作时，只复制单行内容（从 ssh-ed25519 开始，到邮箱结束），不要带换行、缩进或前后空格
• 检查远程 ~/.ssh/authorized_keys 权限：chmod 600 ~/.ssh/authorized_keys，且文件不能属于 root
• 确认远程 /etc/ssh/sshd_config 中 PubkeyAuthentication yes 已启用（改完需 sudo systemctl reload sshd）

多个密钥共存时 ssh 不自动选对 key

当你有 id_rsa、id_ed25519、work_key 多个私钥，ssh 默认只试 id_rsa 和 id_ed25519，不会遍历所有文件。结果就是连特定主机时提示 Permission denied (publickey)，其实 key 是对的，只是没被挑中。

实操建议：

• 在 ~/.ssh/config 中为每个目标主机显式指定密钥：

  Host work-server
    HostName 192.168.1.100
    User alice
    IdentityFile ~/.ssh/work_key

• 临时指定：运行 ssh -i ~/.ssh/work_key user@host
• 避免用 ssh-add 全局加载 —— 它会让所有 key 都参与协商，反而增加被拒绝风险（尤其服务端限制了支持算法）

私钥文件本身不可见、无扩展名、不加密就存放，是绝大多数线上事故的起点。生成后第一件事不是测试连接，是确认 ls -l ~/.ssh/id_* 输出里没有 group/other 的 r 权限，以及 ~/.ssh 目录不是 world-writable。