Linux下如何自动替换SFTP服务器变更的主机密钥？

针对你遇到的服务器更换主机密钥导致脚本报错的问题，这里有几个可行的自动处理方案，兼顾便利性和安全性：

方案1：使用临时known_hosts文件 #

通过指定一个临时的UserKnownHostsFile，让脚本每次运行都使用全新的密钥存储文件，避免旧密钥冲突。结合StrictHostKeyChecking accept-new（OpenSSH 7.6+支持），可以自动接受新的主机密钥，同时拒绝已变更的旧密钥之外的未知情况：

use Net::SFTP::Foreign;

my $host = "testserver.com";
my %cfg = (
    user     => "$user",
    password => "$password",
    port     => 22,
    more     => [
        -o => 'StrictHostKeyChecking accept-new',
        -o => 'UserKnownHostsFile=/tmp/sftp_known_hosts_' . $$, # 用进程ID避免冲突
    ]
);

my $sftp = Net::SFTP::Foreign->new($host, %cfg);

优点：不会污染系统或用户的默认known_hosts文件，每次运行都是独立的密钥上下文；缺点：每次连接都需要重新验证主机密钥（但自动完成），适合临时脚本或内部信任环境。

方案2：自动删除旧主机密钥记录 #

在建立SFTP连接前，先调用ssh-keygen -R命令删除目标主机的旧密钥记录，再执行连接。这样脚本会自动接受新的密钥（因为你已经设置了StrictHostKeyChecking no）：

use Net::SFTP::Foreign;
use IPC::Cmd qw(run);

my $host = "testserver.com";

# 安全删除旧主机密钥记录（避免shell注入）
my ($success, $err_msg, $full_buf, $stdout, $stderr) = run(
    command => ["ssh-keygen", "-R", $host],
    verbose => 0
);
warn "Failed to remove old host key: " . join('', @$stderr) unless $success;

my %cfg = (
    user     => "$user",
    password => "$password",
    port     => 22,
    more     => [-o => 'StrictHostKeyChecking no']
);

my $sftp = Net::SFTP::Foreign->new($host, %cfg);

优点：保留known_hosts中的其他主机记录，仅处理目标主机；缺点：需要脚本有执行ssh-keygen的权限，且存在一定的中间人攻击风险（需确保服务器是可信的）。

方案3：完全禁用主机密钥验证（不推荐生产环境） #

如果是完全信任的内部网络，可以直接让SSH不保存也不验证主机密钥，但这会完全暴露在中间人攻击下，仅适合测试或封闭环境：

use Net::SFTP::Foreign;

my %cfg = (
    user     => "$user",
    password => "$password",
    port     => 22,
    more     => [
        -o => 'StrictHostKeyChecking no',
        -o => 'UserKnownHostsFile=/dev/null'
    ]
);

my $sftp = Net::SFTP::Foreign->new($host, %cfg);

重要提醒 #

自动替换或忽略主机密钥变更会降低SSH的安全性，建议仅在可控、可信的环境中使用这些方案。如果是生产环境，优先考虑手动更新密钥或使用密钥指纹验证的方式。

内容的提问来源于stack exchange，提问作者Andrey