SSH私钥文件权限必须设为600，否则OpenSSH拒绝使用；脚本需检查存在性、验证私钥类型、强制chmod 600并chown确保属主正确，公钥建议644，批量处理时用find定位私钥并跳过非目标文件。
SSH密钥文件权限必须为 600（即仅所有者可读写），否则 OpenSSH 会拒绝使用，报错如 "UNPROTECTED PRIVATE KEY FILE!"。自动化脚本需在生成、分发或部署密钥时立即修复权限，避免人工遗漏。
检查并修复私钥文件权限
脚本应先判断目标文件是否存在且为私钥（通常以 id_rsa、id_ed25519 或自定义名结尾），再强制设为 600：
- 用
stat -c "%a" "$keyfile"（Linux）或stat -f "%Lp" "$keyfile"（macOS）获取当前权限 - 若非
600，执行chmod 600 "$keyfile" - 建议加
chown $USER:$USER "$keyfile"确保属主正确（尤其在 root 下生成后切换用户场景）
生成密钥时直接设定合规权限
使用 ssh-keygen 时，默认已创建 600 权限的私钥，但脚本中仍需验证：
- 调用
ssh-keygen -t ed25519 -f "$keyfile" -N ""生成无密语密钥 - 紧接执行
chmod 600 "$keyfile"—— 不依赖默认行为，确保跨平台一致 - 公钥（
.pub文件）权限建议设为644，不影响 SSH 连接但利于协作分发
批量处理多密钥或用户目录
在 CI/CD 或服务器初始化场景中，常需遍历多个用户家目录下的 .ssh 目录：
- 用
find /home -maxdepth 3 -name "id_*" -type f -path "*/.ssh/*"定位私钥 - 对每个结果运行
chmod 600 {} \;，并跳过已符合的文件（可用-not -perm 600优化） - 注意排除
authorized_keys和known_hosts等非私钥文件，避免误改
集成到部署流程的实用技巧
在 Ansible、Shell 部署脚本或容器启动脚本中嵌入权限校验逻辑：
- 添加函数
ensure_ssh_key_perms() { chmod 600 "$1" 2>/dev/null || exit 1; } - 执行前用
[[ -f "$keyfile" ]] && [[ -r "$keyfile" ]] || { echo "密钥不存在"; exit 1; }做前置检查 - 日志中明确记录修复动作，例如：
echo "[INFO] Fixed permissions on $keyfile → 600"
不复杂但容易忽略 —— 权限合规不是“生成完就结束”，而要在每次密钥落地时主动加固。
