禁用SSH的X11转发需服务端设X11Forwarding no、客户端清空DISPLAY等变量并配置ForwardX11 no，三者协同才能彻底阻断通道，消除内存注入、剪贴板窃取及屏幕读取风险。
禁用 SSH 的 X11 转发，核心是服务端主动拒绝协商该通道，并配合客户端清除残留环境变量和配置，三者缺一不可。只改一边容易被绕过，也无法彻底消除内存注入、剪贴板窃取或屏幕内容读取等风险。
服务端强制关闭（必须 root 操作）
这是最关键的一步，从协议层切断入口：
- 编辑 /etc/ssh/sshd_config，确保存在且未注释的行：
X11Forwarding no - 建议同步加固：
X11UseLocalhost yes（防止绑定到 0.0.0.0 绕过）
PermitUserEnvironment no（阻止通过 ~/.ssh/environment 注入 DISPLAY） - 保存后重启服务：
sudo systemctl restart sshd - 验证是否生效：
sudo sshd -T | grep -i x11forwarding → 输出应为 no
客户端清理运行时环境（普通用户必做）
即使服务端已关，客户端若残留 DISPLAY 变量，某些脚本仍会尝试连接本地 X Server，可能触发异常内存映射或暴露本地图形接口：
- 登录后立即执行：
unset DISPLAY XAUTHORITY XDG_SESSION_TYPE - 写入 shell 初始化文件（如 ~/.bashrc）以持久生效：
if [ -n "$DISPLAY" ]; then unset DISPLAY XAUTHORITY; fi - 检查是否清空：
env | grep -i "display\|xauth\|x11" → 应无任何输出
SSH 客户端配置默认屏蔽
避免因命令行漏加 -x 或配置继承导致意外启用：
- 编辑 ~/.ssh/config，在全局块或对应 Host 块中添加：
ForwardX11 no
ForwardX11Trusted no - 使用图形终端工具（如 MobaXterm、Xshell）时，在连接设置的「SSH」或「隧道」页签中，取消勾选「启用 X11 转发」和「信任 X11 转发」
做到这三层，X11 通道即被完全阻断：服务端不响应协商请求、客户端不发起协商、运行时不携带污染变量。实测可消除基于 X11 的侧信道与内存注入面，同时减少 SSH 握手开销。
