ssh-keygen -R 是唯一推荐的精准删除 known_hosts 中指定主机记录的方式，可按域名、IP或带端口地址匹配删除，不破坏文件结构和其余记录。
直接用 ssh-keygen -R 就能精准删除指定主机的旧公钥记录，不碰其他条目，也不清空整个 ~/.ssh/known_hosts 文件——这是最安全、最常用的做法。
为什么不能直接删整个 known_hosts 文件
全量删除 ~/.ssh/known_hosts 会让所有历史连接都失去指纹校验能力。下次连任何服务器，SSH 都会像第一次那样弹出 Are you sure you want to continue connecting? 提示，等于主动放弃防中间人攻击的第一道防线。这不是“清理”，是自废武功。
常见误操作包括：
- 把 known_hosts 当日志文件一样定期 rm -f
- 在自动化脚本里无条件 echo "" > ~/.ssh/known_hosts
- 用 vim 手动删错行，导致格式损坏（比如删掉某行末尾的换行符）
ssh-keygen -R 的正确用法和参数细节
ssh-keygen -R 是唯一推荐的删除方式，它按主机名、IP 或带端口的地址精确匹配并移除对应条目，同时保持文件结构完整。
- 删域名记录：
ssh-keygen -R example.com - 删 IPv4 地址：
ssh-keygen -R 192.168.1.100 - 删带非标端口的记录（必须加方括号）：
ssh-keygen -R [192.168.1.100:2222] - 删 IPv6 地址（同样要括号）：
ssh-keygen -R [2001:db8::1]
注意：-R 不区分大小写，但不会自动处理 DNS 别名或 CNAME；如果一个主机有多个域名指向同一 IP，得逐个删。
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
批量清理废弃主机时的实用技巧
运维中常需下线一批测试机或旧环境，把它们的主机名/地址列进文本，用循环调用即可：
for host in $(cat ~/etc/retired-hosts.txt); do ssh-keygen -R "$host" 2>/dev/null done
关键点：
- 2>/dev/null 屏蔽“Host not found”类提示，避免干扰日志
- 每行只写一个主机标识（域名、IP 或带端口的格式），不要混用空格或逗号分隔
- 如果列表含注释行（如以 # 开头），建议加 grep -v "^#" 过滤
别用 ssh-keygen -f ~/.ssh/known_hosts -R ... ——-f 参数在这里是冗余的，默认就操作 ~/.ssh/known_hosts，加了反而容易因路径错误失败。
删完之后怎么确认生效
删除不是目的，验证是否真被清掉才是关键步骤：
- 查是否存在：
ssh-keygen -F example.com—— 无输出即已删干净 - 看指纹是否还存：
ssh-keygen -l -f ~/.ssh/known_hosts -F example.com—— 返回空说明本地不再信任该主机 - 重连测试：
ssh -o StrictHostKeyChecking=yes example.com—— 应该重新触发首次连接确认提示
特别注意：如果删完重连仍没提示确认，大概率是目标主机在 known_hosts 中还有别的记录形式（比如用 IP 连过，现在用域名连，两者在文件里是不同行），得用 ssh-keygen -F 分别查 IP 和域名。
