使用Paramiko建立SSH连接时私钥解锁弹窗问题及相关咨询

我原本通过用户名和密码在CLI中连接远程服务器，一切正常。为自动化本地与该服务器的文件传输，编写了使用Paramiko和SCPClient的Python脚本：

from paramiko import SSHClient
from scp import SCPClient
import os

ssh = SSHClient()
ssh.load_system_host_keys()
ip = ... # 远程服务器ID
username = ... # 我的用户名
password = ... # 我的密码
ssh.connect(ip, username=username, password=password) # <- 此行触发弹窗

scp = SCPClient(ssh.get_transport())
scp.get(local_path=local_target, remote_path=os.path.join(remote_target, local_target))

弹窗提示：

输入密码以解锁私钥

我已忘记私钥密码，现咨询以下问题：

a) 为何Python脚本要求私钥而CLI不需要？是否CLI隐式用ssh-agent完成握手？ #

• 是的，CLI的ssh命令默认优先尝试通过ssh-agent获取已解锁的私钥进行身份验证，只有当ssh-agent无可用密钥或密钥验证失败时，才会回退到密码验证。
• Paramiko的connect方法默认身份验证顺序是：先尝试密钥验证（含系统密钥、ssh-agent密钥），再尝试密码验证。但它不会像CLI那样灵活——如果本地私钥是加密状态，Paramiko会直接触发解锁弹窗，而非跳过密钥验证直接使用密码。另外，load_system_host_keys()仅加载主机信任列表，不影响身份验证的优先级逻辑。

b) 能否模仿CLI行为消除Python脚本的私钥解锁需求？ #

可以，最简单的方式是强制仅使用密码验证，修改ssh.connect参数，跳过所有密钥验证环节：

ssh.connect(
    ip,
    username=username,
    password=password,
    look_for_keys=False,  # 不查找本地私钥文件
    allow_agent=False     # 不调用ssh-agent
)

这样Paramiko会直接用你提供的用户名和密码登录，不会触发私钥解锁弹窗。

如果想保留ssh-agent的使用，需要先在CLI用ssh-add解锁私钥（只要ssh-agent会话持续，Paramiko就能直接调用），但这种方式不如直接禁用密钥验证稳妥。

c) 能否通过已知用户名密码找回私钥？在「密码和密钥」程序中仅找到OpenSSH密钥项，修改其密码短语是否可行？会影响现有CLI连接吗？ #

• 无法通过服务器的用户名和密码找回本地私钥的密码，私钥是本地加密存储的文件，与服务器账号密码无关联。
• 在「密码和密钥」程序中修改OpenSSH密钥的密码短语是可行的，但前提是你能输入原密码解锁密钥——你已忘记原密码，因此这条路径无法操作。
• 若成功修改密钥密码短语，只要密钥文件未损坏，CLI连接不会受影响：后续ssh命令会提示输入新密码短语，或你可通过ssh-add将新密码的密钥加入ssh-agent，避免重复输入。

内容的提问来源于stack exchange，提问作者Eypros