SSH 与密钥

这一课你将能做到

1. 生成 ed25519 密钥对并部署到服务器（ssh-copy-id 或手动 authorized_keys），实现免密登录，并说清私钥/公钥各自的权限要求
2. 用 ~/.ssh/config 给服务器起别名（ssh prod 一键登录），指定用户、端口、私钥
3. 用 scp/rsync 向服务器传产物（JAR、前端 dist），并完成「禁用 root 密码登录」的安全加固

为什么要学

SSH 是你与生产服务器之间唯一的门。这扇门如果只有密码，等于每天在全球公网上被人试锁——云厂商日志里每天有成千上万次针对 22 端口的暴力破解。密钥登录（公钥锁、私钥钥匙）让攻击者没有钥匙永远进不来，还顺便让你免输密码、让 CI（GitHub Actions）能自动部署。

本课的产出直接决定部署课的顺畅度：ssh prod 秒连、scp backend.jar prod: 秒传——这是后端工程师每天摸的路径。

先建立图像

密钥登录的原理（非对称加密）

你本机                                服务器
┌──────────────────┐                ┌─────────────────────────┐
│ id_ed25519      │  私钥=钥匙      │ ~/.ssh/authorized_keys   │
│ （永不离开本机）   │                │ （门上贴的锁，公钥列表）      │
│                  │    握手验证      │                         │
│ id_ed25519.pub ──┼──公钥=锁──拷贝──►│ www@server 可登录          │
└──────────────────┘                └─────────────────────────┘

登录时服务器用公钥出一道「只有对应私钥能解的题」，你本机用私钥作答。私钥全程不出本机，所以没有密码在网络里飞，抓包也没用。

权限是 SSH 安全模型的一半

~/.ssh/                必须是 700
~/.ssh/id_ed25519      必须是 600   ← 宽了 ssh 直接拒绝使用：UNPROTECTED PRIVATE KEY
~/.ssh/authorized_keys 必须是 600（且属主=登录用户）

跟着做

步骤 1：本机生成密钥对

在本机终端（Windows 用 PowerShell，自带 OpenSSH；macOS/Linux 用 Terminal）：

# ed25519：现代算法，密钥短、快、安全（取代 rsa 2048）
ssh-keygen -t ed25519 -C "leebf@coderoadmap"
# 三个提示都可直接回车：
#   保存路径：默认 ~/.ssh/id_ed25519
#   passphrase：可留空（本机受信环境）；留空=免密一键连

ls ~/.ssh/
# id_ed25519      私钥（谁拿到谁能登你的服务器，绝不外传）
# id_ed25519.pub  公钥（贴到服务器上的锁）
cat ~/.ssh/id_ed25519.pub    # 一行内容：ssh-ed25519 AAAA... leebf@coderoadmap

老系统需要 rsa 时的兼容写法：ssh-keygen -t rsa -b 4096（云厂商老镜像、某些跳板机可能只认 rsa）。

步骤 2：把公钥装到服务器上

方式 A（推荐，一条命令）：

ssh-copy-id deploy@你的服务器IP
# 输最后一次 deploy 的密码，之后就再也不用了

方式 B（手动，理解文件本质；Windows 无 ssh-copy-id 时用）：

# 本机看公钥内容并复制：
cat ~/.ssh/id_ed25519.pub

# 服务器上（先用密码 ssh 登一次）：
mkdir -p ~/.ssh && chmod 700 ~/.ssh
echo "ssh-ed25519 AAAA...你的公钥... leebf@coderoadmap" >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys