在Bash脚本中安全缓存SSH凭证的技术方案问询

嘿，我太懂这种每次SSH都要输密码的烦躁了！你这个脚本里多次连同一台远程机器，每次都要输凭证确实麻烦，而且还得保证脚本结束后凭证自动清除，安全又简便的方法肯定有——用SSH Agent就能完美解决，而且完全通用。

核心思路：临时SSH Agent+自动清理 #

SSH Agent是SSH自带的安全密钥管理工具，我们可以在脚本启动时开一个临时独立的Agent进程，把密钥加载进去，然后设置脚本退出时自动杀掉这个Agent，这样缓存的凭证就会被彻底清除，不管脚本是正常结束还是出错终止都没问题。

具体脚本修改示例（密钥登录推荐） #

#!/bin/bash

# 启动临时SSH Agent，把它的环境变量导入当前shell
eval $(ssh-agent -s)
# 设置陷阱：不管脚本怎么退出，都杀掉这个Agent
trap "ssh-agent -k" EXIT

# 加载你的私钥（只需要输入一次密钥密码）
ssh-add ~/.ssh/your_private_key

# 现在执行SSH命令再也不用输凭证啦！
ssh otheruser@host command1
ssh otheruser@host command2

# 继续执行你的本地任务
# Do most local tasks

关键步骤解释 #

• eval $(ssh-agent -s)：启动一个仅属于当前脚本的SSH Agent，它会输出几个环境变量（比如SSH_AUTH_SOCK和SSH_AGENT_PID），eval用来把这些变量导入当前shell，让后续的SSH命令能找到这个Agent。
• trap "ssh-agent -k" EXIT：这是安全保障的核心！不管脚本是正常执行完退出，还是中途报错终止，trap都会触发ssh-agent -k命令，直接杀掉这个临时Agent，缓存的密钥也就跟着被清除了，绝对不会留在系统里。
• ssh-add ~/.ssh/your_private_key：把你的私钥添加到临时Agent中，只需要输入一次密钥的密码，之后所有SSH连接都会自动用这个Agent里的密钥做认证，不用再手动输入。

如果你还在用密码登录（不推荐，但也有办法） #

要是远程机器暂时不支持密钥登录，也可以用SSH控制连接复用的方式，只输一次密码，脚本结束后自动关闭连接：

#!/bin/bash

# 创建控制连接的缓存目录（如果不存在的话）
mkdir -p ~/.ssh/controlmasters

# 建立后台持久化的控制连接，第一次需要输密码
ssh -fN -o ControlMaster=yes -o ControlPath=~/.ssh/controlmasters/%h-%p-%r otheruser@host
# 设置陷阱：脚本退出时关闭这个控制连接
trap "ssh -O exit -o ControlPath=~/.ssh/controlmasters/%h-%p-%r otheruser@host" EXIT

# 后续所有SSH命令复用这个控制连接，不用再输密码
ssh -o ControlPath=~/.ssh/controlmasters/%h-%p-%r otheruser@host command1
ssh -o ControlPath=~/.ssh/controlmasters/%h-%p-%r otheruser@host command2

# 继续本地任务
# Do most local tasks

这个方法的原理是建立一个持久的SSH控制连接，后续命令都走这个连接通道，避免了多次认证的过程，脚本结束后关闭连接，也不会留下任何凭证。

额外建议：优先用密钥登录 #

密码登录不仅麻烦，安全性也不如密钥登录。建议你先执行这两步把密钥登录配置好：

1. 生成密钥对：ssh-keygen（一路回车就行，也可以设置密钥密码增强安全）
2. 把公钥传到远程机器：ssh-copy-id otheruser@host

这样之后用上面的SSH Agent方法，体验会更顺畅，安全性也更高。

内容的提问来源于stack exchange，提问作者JimPri