使用Go x/crypto/ssh/knownhosts始终出现密钥不匹配问题求助

核心原因：主机标识不匹配 #

knownhosts包的验证逻辑会严格对比连接时传入的主机标识（IP或主机名）与known_hosts文件中的条目。如果你的命令行ssh用主机名连接（生成的是主机名条目），但代码里用IP地址连接，回调会判定两者是不同主机，直接返回密钥不匹配——这是最常见的触发原因。而命令行ssh会自动通过DNS//etc/hosts处理主机名与IP的映射，不会有这个问题。

代码中的具体问题与修复 #

1. 路径拼接错误 #

path.Join(u.HomeDir, "/.ssh/known_hosts")中第二个参数以/开头，会被识别为绝对路径，导致最终路径变成/.ssh/known_hosts而非用户家目录下的正确路径。应改为：

knownHostsPath = path.Join(u.HomeDir, ".ssh", "known_hosts")

2. 错误处理逻辑漏洞 #

原代码中，用户级known_hosts存在但格式/权限错误时，会直接静默切换到系统级文件，掩盖真实问题。需在每一步错误时明确判断，避免逻辑混乱。

3. 主机标识强制匹配（关键修复） #

如果必须用IP连接，但known_hosts里是主机名条目，可以自定义回调函数，强制用主机名而非IP进行验证：

修正后的完整代码 #

import (
    "net"
    "os/user"
    "path"

    "golang.org/x/crypto/ssh"
    "golang.org/x/crypto/ssh/knownhosts"
)

func DialSSH(conf *config.Standard) (*ssh.Client, error) {
    var err error
    var u *user.User
    var keyCallback ssh.HostKeyCallback

    if conf.RemoteKey != nil {
        keyCallback, err = ssh.FixedHostKey(conf.RemoteKey)
        if err != nil {
            return nil, err
        }
    } else {
        // 优先读取用户级known_hosts
        var knownHostsPath string
        u, err = user.Current()
        if err == nil {
            knownHostsPath = path.Join(u.HomeDir, ".ssh", "known_hosts")
            keyCallback, err = knownhosts.New(knownHostsPath)
        }
        // 用户级读取失败，尝试系统级
        if err != nil {
            knownHostsPath = "/etc/ssh/known_hosts"
            keyCallback, err = knownhosts.New(knownHostsPath)
        }
        if err != nil {
            return nil, err
        }
    }

    // 强制用known_hosts中的主机名验证（如果代码用IP连接）
    // 需确保conf.Hostname是known_hosts中存在的主机名字段
    if conf.Hostname != "" {
        originalCallback := keyCallback
        keyCallback = func(hostname string, remote net.Addr, key ssh.PublicKey) error {
            return originalCallback(conf.Hostname, remote, key)
        }
    }

    host := net.JoinHostPort(conf.Ip, conf.Port)
    config := ssh.ClientConfig{
        User: conf.User,
        Auth: []ssh.AuthMethod{
            ssh.Password(conf.Pass),
        },
        HostKeyCallback: keyCallback,
        // 可选：指定服务器支持的密钥算法，避免算法不匹配
        // HostKeyAlgorithms: []string{ssh.KeyAlgoED25519, ssh.KeyAlgoRSA},
    }

    client, err := ssh.Dial("tcp", host, &config)
    if err != nil {
        return nil, err
    }

    return client, nil
}

额外排查步骤 #

• 确认known_hosts条目：用cat ~/.ssh/known_hosts查看，确保代码使用的IP/主机名与条目完全一致；
• 检查文件权限：known_hosts必须是600权限（用户读写，其他无权限），否则knownhosts包会拒绝读取；
• 验证密钥算法：部分服务器使用ED25519等新算法，需在ClientConfig中显式指定HostKeyAlgorithms。

内容的提问来源于stack exchange，提问作者Logan R. Kearsley