Node.js使用ssh2/node-ssh连接时私钥格式不支持问题求助

你的问题核心是AWS Secrets Manager返回的是PKCS#8格式的私钥（-----BEGIN PRIVATE KEY-----开头），而node-ssh/ssh2库需要正确解析该格式才能使用。手动修改密钥开头/结尾会破坏密钥结构，导致无法解析。以下是无需保存文件、直接使用字符串私钥的解决方法：

1. 先修复私钥字符串格式（关键前提） #

从Secrets Manager获取的私钥字符串可能存在换行缺失的情况（比如被压缩成一行），先确保格式符合PEM规范：

• 开头-----BEGIN PRIVATE KEY-----后必须换行
• 密钥主体每64个字符换行
• 结尾-----END PRIVATE KEY-----前必须换行

处理代码示例：

// 从Secrets Manager获取的原始私钥字符串
const rawPrivateKey = '-----BEGIN PRIVATE KEY-----...-----END PRIVATE KEY-----';

// 格式化私钥字符串
const formattedPrivateKey = rawPrivateKey.trim()
  // 补全开头后的换行
  .replace(/-----BEGIN PRIVATE KEY-----/, '$&\n')
  // 补全结尾前的换行
  .replace(/-----END PRIVATE KEY-----/, '\n$&')
  // 密钥主体每64个字符换行
  .replace(/(.{64})/g, '$1\n');

2. 用ssh2的parseKey预处理私钥 #

node-ssh依赖ssh2-streams库，直接用其parseKey方法解析PKCS#8格式的私钥，再传入connect配置：

完整代码示例：

const { parseKey } = require('ssh2-streams');
const { NodeSSH } = require('node-ssh');

async function establishSshConnection() {
  const ssh = new NodeSSH();
  const rawPrivateKey = '-----BEGIN PRIVATE KEY-----...-----END PRIVATE KEY-----'; // 替换为你的私钥

  // 第一步：格式化私钥字符串
  let formattedKey = rawPrivateKey.trim();
  if (!formattedKey.includes('\n')) {
    formattedKey = formattedKey
      .replace(/-----BEGIN PRIVATE KEY-----/, '$&\n')
      .replace(/-----END PRIVATE KEY-----/, '\n$&')
      .replace(/(.{64})/g, '$1\n');
  }

  try {
    // 第二步：解析私钥
    const parsedKey = parseKey(formattedKey);
    // 建立连接
    await ssh.connect({
      host: 'my-server.example.com',
      port: 22,
      username: 'my-username',
      privateKey: parsedKey
    });

    console.log('SSH连接成功');
    // 执行示例命令
    // const { stdout, stderr } = await ssh.execCommand('pwd');
    // console.log('命令输出:', stdout);
    // if (stderr) console.error('命令错误:', stderr);

    await ssh.disconnect();
  } catch (error) {
    console.error('连接失败:', error.message);
  }
}

establishSshConnection();

为什么之前的尝试无效？ #

• 手动修改密钥开头为BEGIN RSA PRIVATE KEY会破坏PKCS#8格式的结构，导致密钥无效
• ssh-keygen -m PEM -t rsa生成的是PKCS#1格式的密钥，和AWS返回的PKCS#8格式不兼容，直接替换无法解决问题
• 系统的ssh命令可以自动识别PKCS#8格式，所以子进程方式可行，但node库需要显式解析

内容的提问来源于stack exchange，提问作者NadavT