最稳妥方式是结合ForceCommand（服务端强制）与登录初始化文件（用户侧触发）：前者用于专用账号统一管控，后者适配普通用户静默自查，均需脚本轻量、日志隔离、安全收口。
要让SSH用户登录后自动运行环境自查脚本，同时确保不干扰正常交互、不暴露敏感信息、还能精准控制执行时机，最稳妥的方式是结合 ForceCommand（服务端强制）与登录初始化文件（用户侧触发）两种机制，按需选用——前者适合统一管控、强隔离场景；后者更灵活、易调试、不影响其他用户。下面分两类讲清楚怎么配、为什么这么配。
用 ForceCommand 全局强制执行（适合运维/审计账号）
适用于专用账号（如 audit、checkbot），登录即跑脚本、不进 shell、不可绕过：
- 编辑
/etc/ssh/sshd_config，添加匹配块（避免影响 root 或管理员）：
Match User audit<br> ForceCommand /usr/local/bin/env-check.sh<br> PermitTTY no<br> AllowTcpForwarding no
-
/usr/local/bin/env-check.sh必须是绝对路径、可执行（chmod +x）、且末尾加exec /bin/bash -l才能继续交互（若需）；若只查不交互，就不用 exec - 脚本内聚焦轻量检查：确认 SSH 密码登录是否禁用、关键目录权限（
~/.ssh是否为 700）、最近 sudoers 变更、可疑 UID=0 账户等——不调网络、不扫全盘、不输出密钥 - 重启服务：
sudo systemctl restart sshd，再用ssh audit@host测试，看日志/var/log/auth.log是否记录 ForceCommand 触发
在用户登录文件中条件触发（适合普通开发者账号）
适用于已有账号，希望每次登录时静默自查一次（首次或每日），不破坏原有 shell 体验：
- 选对启动文件：
~/.bash_profile（bash 用户）或~/.zprofile（zsh 用户）；别用 ~/.bashrc，否则 scp/sftp 也会误执行 - 在文件末尾加入带保护逻辑的调用：
if [ -t 1 ] && [ ! -f ~/.env_check_today ]; then<br> ~/bin/env-check.sh >> ~/logs/env-check-$(date +%Y%m%d).log 2>&1<br> touch ~/.env_check_today<br> fi
- 脚本自身要加错误捕获和超时控制（例如用
timeout 10s包裹耗时命令），避免卡住登录流程；严重问题可用echo -e "\a"提示蜂鸣 - 验证方式：新开终端执行
ssh -o ConnectTimeout=5 user@localhost，观察是否静默完成、日志是否生成、交互提示符是否正常出现
自查脚本内容设计要点（两类都适用）
脚本不是功能越多越好，而是要“快、准、稳”：
- 检查
/etc/ssh/sshd_config中PasswordAuthentication no是否生效（用sshd -T | grep passwordauthentication） - 确认
~/.ssh/authorized_keys权限为 600、~/.ssh目录为 700（stat -c "%a %n" ~/.ssh ~/.ssh/authorized_keys） - 扫描最近 1 小时新增的 cron 任务：
find /var/spool/cron -mmin -60 -type f 2>/dev/null - 检测是否有非标准 shell 用户：
awk -F: '$7 !~ /\/(bash|zsh|sh)$/ && $3 > 999 {print}' /etc/passwd - 所有输出重定向到日志，不 echo 到终端；不使用
sudo或su，除非明确以 root 身份运行（应另设专用账号）
安全收口与验证建议
配置完不是就结束了，必须闭环验证：
- 测试前先备份原配置：
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak - 用非主账号（如新建
testuser）实测，避免锁死自己 - 检查
~/.bash_profile语法：bash -n ~/.bash_profile防止语法错误导致无法登录 - 自查脚本本身加
set -e和set -u，遇到错误立即退出，不静默吞异常 - 日志保留 7 天，按日期轮转，避免填满磁盘
