JSCH API StrictHostChecking配置求助：批量路由器SSH安全连接

思路1：预加载统一的可信主机密钥库 #

如果你的路由器使用统一密钥（或有限几套密钥），可提前收集这些公钥，在应用中批量加载，无需手动维护单台主机的known_hosts条目。

代码示例：

JSch jsch = new JSch();
// 单条密钥加载：格式为 [主机IP/域名] [密钥类型] [公钥内容]
String trustedHostKey = "XXX.XXX.XXX.XXX ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC...";
jsch.getHostKeyRepository().add(trustedHostKey, null);

// 批量加载：从文件读取所有可信密钥（格式与标准known_hosts一致）
// jsch.setKnownHosts("path/to/trusted_router_keys.txt");

// 启用严格主机检查
Session session = jsch.getSession(username, host, port);
session.setConfig("StrictHostKeyChecking", "yes");
session.setPassword(password);
session.connect();

优势：安全可控，验证逻辑简单；局限：需提前收集所有路由器密钥，不适合频繁新增未知密钥的场景。

思路2：基于企业CA验证主机密钥 #

若路由器主机密钥由企业内部CA签发，可通过CA证书批量信任所有合规路由器，无需逐个添加known_hosts。

代码示例：

JSch jsch = new JSch();
// 加载企业CA公钥，文件需添加@cert-authority标记（格式见下方）
String caCertPath = "path/to/enterprise_ca.pub";
jsch.setKnownHosts(caCertPath);

Session session = jsch.getSession(username, host, port);
session.setConfig("StrictHostKeyChecking", "yes");
session.setConfig("CheckHostIP", "yes"); // 可选：验证IP与证书绑定关系
session.setPassword(password);
session.connect();

CA证书文件格式示例：

@cert-authority * ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC...

优势：扩展性极强，自动信任所有CA签发的路由器；局限：依赖企业内部PKI体系，需路由器支持CA签发的主机密钥。

思路3：首次连接自动信任+审计日志 #

需支持动态新增路由器时，可实现UserInfo接口，首次连接自动接受主机密钥并写入known_hosts，同时记录审计日志追溯操作。

代码示例：

public class AutoAcceptHostKeyUserInfo implements UserInfo {
    private File knownHostsFile;

    public AutoAcceptHostKeyUserInfo(File knownHostsFile) {
        this.knownHostsFile = knownHostsFile;
    }

    @Override
    public String getPassphrase() { return null; }
    @Override
    public String getPassword() { return null; }
    @Override
    public boolean promptPassword(String message) { return false; }
    @Override
    public boolean promptPassphrase(String message) { return false; }
    @Override
    public boolean promptYesNo(String message) {
        // 写入审计日志（可替换为数据库存储或专业日志框架）
        System.out.printf("[AUDIT] %s 自动接受主机密钥: %s%n", 
                         LocalDateTime.now().toString(), message);
        return true;
    }
    @Override
    public void showMessage(String message) {}
}

// 使用示例
JSch jsch = new JSch();
File knownHosts = new File(System.getProperty("user.home") + "/.ssh/known_hosts");
jsch.setKnownHosts(knownHosts.getAbsolutePath());

Session session = jsch.getSession(username, host, port);
session.setConfig("StrictHostKeyChecking", "ask"); // 触发UserInfo交互
session.setUserInfo(new AutoAcceptHostKeyUserInfo(knownHosts));
session.setPassword(password);
session.connect();

优势：无需提前配置，适配动态新增场景；局限：首次连接存在中间人攻击风险，必须依赖审计日志追溯异常。

关键注意事项 #

• 绝对禁止使用StrictHostChecking=no，该配置会完全跳过主机密钥验证，直接暴露中间人攻击风险。
• 即使使用密钥登录（而非密码），主机密钥验证仍是SSH安全的核心环节，不可忽略。
• JSCH 0.1.55版本较老，对ED25519等新型密钥支持有限，若路由器使用此类密钥，需考虑升级版本或额外适配。

内容的提问来源于stack exchange，提问作者hell_storm2004