Github已知主机密钥异常：无关命令触发警告的排查求助

i) 无关命令触发警告的原因 #

• 后台定时任务/服务：系统或用户级的定时任务（如crontab、systemd定时器）可能在后台执行Git同步、依赖更新等操作，这些操作会发起SSH连接到GitHub，刚好和你运行的命令同时触发，导致警告弹出。比如某些IDE插件、包管理器（pip/conda）的后台自动检查更新，可能偷偷发起请求。
• SSH配置或Agent异常：你的~/.ssh/config中如果有针对GitHub的特殊配置（如自动转发Agent、Host匹配规则），可能导致某些命令间接触发SSH连接尝试。另外，SSH Agent可能被其他进程复用，发起意外的连接请求。
• 进程复用或环境继承：你运行的脚本可能继承了某个包含SSH连接上下文的环境，比如父进程之前发起过SSH请求，子进程（你的脚本）意外触发了残留的连接逻辑。
• known_hosts文件被自动改写：你清理known_hosts后，某个后台进程（如Git客户端、自动化脚本）又自动写入了旧的GitHub主机密钥，导致再次出现不匹配警告。

ii) 追踪发起GitHub请求的进程 #

• 实时查看网络连接进程：使用ss命令查看当前连接到GitHub IP的进程：

  ss -tp dst 140.82.114.4
  

  其中-t表示过滤TCP连接，-p显示关联的进程名和PID。
• 跟踪目标命令的系统调用：用strace监控脚本的网络相关操作，看是否有发起SSH连接的行为：

  strace -f -e network python3 main.py
  

  -f会跟踪脚本启动的所有子进程，-e network只输出网络相关的系统调用，能帮你定位是否是脚本本身或其子进程发起的请求。
• 开启SSH调试日志：修改~/.ssh/config文件，添加以下配置：

  Host github.com
    LogLevel DEBUG3
  

  之后当出现警告时，查看系统日志（如/var/log/auth.log，不同发行版路径可能不同），日志中会记录发起SSH连接的进程信息。
• 排查定时任务：检查用户定时任务和系统定时任务：

  crontab -l
  ls -la /etc/cron.d/ /etc/cron.hourly/ /etc/cron.daily/
  

  看看是否有定时执行的脚本涉及Git或GitHub操作。
• 使用进程监控工具：比如htop实时查看进程活动，或者ps aux | grep ssh筛选当前运行的SSH相关进程，结合时间点排查异常进程。

内容的提问来源于stack exchange，提问作者Dan Nicolau