ssh-add -l 是最简单有效的验证方式，可直接查看 ssh-agent 内存中已加载私钥的指纹，不依赖磁盘文件，能第一时间发现密钥是否被意外或恶意替换。
直接用 ssh-add -l 查看当前内存中已加载私钥的指纹，是最简单有效的验证方式。它不依赖磁盘文件状态，只反映 ssh-agent 实际持有的密钥，能第一时间发现私钥是否被意外或恶意替换成其他密钥。
确认 ssh-agent 正在运行并有密钥加载
执行前先确保代理已启动且你已添加过密钥：
- 检查 agent 是否活跃：
echo $SSH_AUTH_SOCK—— 有输出说明 agent 正在运行 - 列出当前已加载的密钥：
ssh-add -l
正常输出类似：
3072 SHA256:Def456uvw012 user@host (RSA)
比对指纹识别异常密钥
仅靠 ssh-add -l 显示的指纹还不够，必须和你**原始私钥文件本身生成的指纹**做比对：
- 从私钥文件提取指纹（以
~/.ssh/id_ed25519为例）：ssh-keygen -lf ~/.ssh/id_ed25519 - 对比两处输出的 SHA256 值是否完全一致（包括大小写和冒号位置）
- 若不一致，说明内存中加载的不是你预期的私钥——可能已被替换、误加了其他密钥，或脚本自动导入了错误密钥
防止恶意替换的实操建议
光验证不够，需配合以下习惯降低风险：
- 添加密钥时始终显式指定路径：
ssh-add ~/.ssh/id_ed25519，避免ssh-add默认遍历多个文件导致混入未知密钥 - 定期清空再重载：
ssh-add -D && ssh-add ~/.ssh/id_ed25519，强制刷新可信密钥 - 禁用自动加载：在 shell 配置中移除
ssh-add -A或ssh-add --apple-load-keychain类命令 - 敏感环境可设为一次性加载：用
ssh-add -t 300 ~/.ssh/id_ed25519（5分钟自动过期）
补充：快速定位问题密钥来源
如果发现指纹不符，可进一步排查：
- 查哪些进程在使用 agent：
lsof -U | grep ssh-agent - 看所有可能被自动加载的私钥路径：
ls -l ~/.ssh/id_*.pub 2>/dev/null - 检查是否有别名或脚本静默执行了
ssh-add（如~/.bashrc或~/.profile中）
