SSH密钥加口令是私钥落地后的最后一道保险，能阻止被盗私钥被直接滥用；必须设置口令以防设备失窃或恶意软件窃取，推荐4–6个随机英文单词组合，且无法事后补设；口令遗忘需立即停用并轮换密钥。
SSH密钥加口令（passphrase）不是多此一举，而是私钥落地后的最后一道保险。它不改变密钥本身的数学安全性，但能有效阻止私钥文件被盗后被直接滥用——哪怕攻击者拿到你的 id_ed25519 文件，没有口令也签不了名、登不了服务器。
为什么必须给私钥设口令？
很多用户为图“真正免密”，在生成密钥时直接回车跳过口令输入。这相当于把一把没上锁的钥匙放在抽屉里：一旦电脑失窃、硬盘被复制、或被恶意软件扫描到 .ssh 目录，私钥就等于裸奔。而加了口令的私钥，即使泄露，也需二次破解（口令强度决定难度），且无法用于自动化脚本误用——这对生产环境是关键隔离。
口令设置的实操要点
-
长度与复杂度要实在：不必死磕“大小写+数字+符号”，推荐使用 4–6 个随机英文单词组合（如
stout-oven-mango-tulip），易记难猜，抗暴力破解效果优于8位混乱密码 -
生成时一次性定型：用
ssh-keygen -t ed25519 -C "prod-root-2026" -f ~/.ssh/id_ed25519_prod，过程中务必输入口令；若漏填，不能事后补，只能重生成 - 别存口令到剪贴板管理器自动粘贴：某些密码管理器会静默填充，导致终端未提示输入就报错；建议手动键入口令，确保每次操作意图明确
日常使用中的口令管理策略
-
开发机/个人笔记本：启用
ssh-agent缓存口令，一次输入，会话期内免重复输（eval $(ssh-agent)+ssh-add ~/.ssh/id_ed25519_prod） -
跳板机或共享终端：禁用
ssh-agent，坚持每次连接都手动输口令，避免他人复用你的 agent - CI/CD 或无人值守脚本：不设口令（空 passphrase），但必须将私钥严格限定在受控环境（如 Jenkins 凭据库加密存储、Kubernetes Secret 挂载），且仅授权给必要任务
口令忘了怎么办？
很遗憾，OpenSSH 不提供口令恢复机制——这是设计使然。私钥文件本身已加密，口令是解密密钥的唯一密钥。此时唯一安全做法是：立即停用该密钥对，生成新密钥，更新所有服务器上的 authorized_keys，并轮换相关服务凭证。切勿尝试暴力破解自己的口令，既耗时又可能触发登录锁定策略。
