如何在Go中使用给定的RSA公钥创建SSH客户端连接？

首先明确：SSH公钥认证的核心逻辑是客户端用私钥对服务端的挑战信息签名，服务端用预先存储的公钥验证签名合法性。客户端仅持有公钥的话，无法完成SSH公钥认证——因为没有私钥就没有签名能力，这是SSH协议的设计要求。

你尝试用公钥直接生成ssh.AuthMethod行不通，因为所有合法的SSH客户端认证方法都需要客户端提供可验证的身份凭证（比如密码、私钥签名），单纯的公钥不具备这个能力。

正确处理方式 #

分两种场景处理：

1. 误将私钥当成公钥：检查密钥格式，确保传入的是RSA私钥（格式为-----BEGIN RSA PRIVATE KEY-----或PKCS8格式的-----BEGIN PRIVATE KEY-----开头），此时你原有的私钥分支代码是正确的。
2. 确实只有公钥：这种情况下无法通过公钥认证连接SSH服务器，需获取对应的私钥，或改用密码认证等其他方式。

如果拿到的是SSH2格式公钥（---- BEGIN SSH2 PUBLIC KEY ----），这只能用于服务端authorized_keys配置，和客户端认证无关。

修正后的代码（针对持有私钥的场景） #

import "errors"

func sftpClient(host, port, user, pass string) (*sftp.Client, error) {
    var authMethod ssh.AuthMethod

    if strings.Index(pass, "-----BEGIN RSA PRIVATE KEY-----") == 0 || 
       strings.Index(pass, "-----BEGIN PRIVATE KEY-----") == 0 { // 兼容PKCS8格式私钥
        signer, err := ssh.ParsePrivateKey([]byte(pass))
        if err != nil {
            return nil, err
        }
        authMethod = ssh.PublicKeys(signer)
    } else if strings.Index(pass, "---- BEGIN SSH2 PUBLIC KEY ----") == 0 {
        return nil, errors.New("公钥无法作为SSH客户端认证凭证，请使用对应的私钥")
    } else {
        authMethod = ssh.Password(pass)
    }

    config := &ssh.ClientConfig{
        User:            user,
        Auth:            []ssh.AuthMethod{authMethod},
        HostKeyCallback: ssh.InsecureIgnoreHostKey(),
        Config: ssh.Config{
            Ciphers: []string{
                // 保留你的加密算法配置
            },
        },
    }

    conn, err := ssh.Dial("tcp", host+":"+port, config)
    if err != nil {
        return nil, err
    }

    client, err := sftp.NewClient(conn)
    if err != nil {
        conn.Close() // 认证失败时关闭连接
        return nil, err
    }

    return client, nil
}

补充说明 #

• ssh.PublicKeys()方法要求的ssh.Signer类型只能从私钥生成，因为签名操作必须依赖私钥。
• 若要验证服务端的主机密钥，这是HostKeyCallback的职责，和客户端认证用的密钥不是同一概念。

内容的提问来源于stack exchange，提问作者Niko