精准清除known_hosts中旧密钥应使用ssh-keygen -R命令，支持域名、IP、非标准端口（需方括号）及IPv6（需引号），删除后须用-F或grep验证，并注意HashKnownHosts影响。
当远程服务器重装系统、迁移IP或轮换密钥后，SSH客户端会因known_hosts中旧指纹不匹配而拒绝连接，并提示“WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED”，此时必须精准清除对应主机的旧密钥记录才能恢复可信连接。
用ssh-keygen -R精准删除变动主机的密钥
这是唯一推荐的标准方式，不破坏文件结构，不误删其他主机条目，且自动备份原文件（如 known_hosts.old）。
执行命令：ssh-keygen -R example.com
若目标是IP地址，直接写：ssh-keygen -R 192.168.1.100
如果SSH服务运行在非标准端口（如2222），必须用方括号包裹整个地址：ssh-keygen -R [192.168.1.100]:2222。漏掉方括号会导致命令静默失败，旧记录仍残留。
IPv6地址同理，必须加方括号：ssh-keygen -R "[2001:db8::1]"。注意引号不是可选的——缺少引号时shell会把冒号之后的内容当作命令参数解析，导致报错或误删。
确认是否已彻底清除
删除后务必验证，避免因别名、哈希存储或端口写法差异导致残留。
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
方法一：用-F查询是否存在匹配项
执行 ssh-keygen -F example.com -f ~/.ssh/known_hosts，输出为 “No matching entry found” 才算成功。
方法二：用grep检查原始文件grep -n "example.com" ~/.ssh/known_hosts 应无任何输出；若有输出，说明known_hosts里存的是IP而非域名，需改用IP重试。
注意：如果服务器启用了HashKnownHosts，known_hosts中存储的是哈希值而非明文域名/IP，此时-F查询必须用实际连接时使用的地址格式（比如你用IP连，就得-F 192.168.1.100，不能-F example.com）。
批量清理多个已确认废弃的主机
第一步：准备废弃主机清单
将所有待清理的主机名、IP或带端口地址（按-R要求的格式）逐行写入文件，例如 ~/retired-servers.txt：
github.com<br>[10.0.2.15]:2222<br>192.168.5.100<br>[2001:db8::2]
第二步：循环执行删除
运行以下命令：while IFS= read -r host; do [[ -n "$host" ]] && ssh-keygen -R "$host" 2>/dev/null; done
第三步：检查结果
对清单中任意一项执行 ssh-keygen -F "$host" -f ~/.ssh/known_hosts，确认返回“No matching entry found”。
