1. 为什么每次连服务器都要输密码这事得治如果你每天要在 VS Code 或 Cursor 里连远程服务器写代码大概率经历过这种循环打开 Remote-SSH输入密码写两小时代码窗口一关下次再连又得输一遍。密码复杂点还得翻备忘录服务器多几台就更乱root 一台、ubuntu 一台、跳板机一台端口还各不相同。这套流程的本质问题不是「密码难记」而是每次连接都在做一次身份验证的重复劳动。SSH 密钥认证要解决的就是这件事客户端持有一把私钥服务器上放对应的公钥连接时双方做一次密码学握手验证通过就直接放行。配好之后VS Code 和 Cursor 的 Remote-SSH 插件走的是同一套 SSH 配置所以一次配置两个编辑器都能免密登录。这篇面向的是需要频繁远程开发的工程师交付的是可以直接复制的~/.ssh/config骨架和服务器端authorized_keys配置外加连接验证和常见报错排查。整个流程分两块客户端生成密钥并写配置服务器端接收公钥并确认 sshd 允许公钥认证。中间如果涉及模型调用或 Agent 类工具需要统一管理密钥可以顺带用 TaoToken 的 API Keys 页面集中托管避免密钥散落在各个.env里。先说清楚一个前提下面所有操作都在你自己的开发机和你有权限登录的服务器之间进行不涉及任何网络层改造纯粹是 SSH 协议本身的密钥认证配置。2. 前置准备客户端密钥、服务器权限与 TaoToken 的定位动手之前先确认三件事。第一客户端有没有现成的密钥对。打开终端执行ls -al ~/.ssh如果看到id_rsa和id_rsa.pub或者id_ed25519/id_ed25519.pub说明已经有密钥对了可以跳过生成步骤。如果没有下一步生成。这里建议用 ed25519比 RSA 更短、更安全现代 OpenSSH 都支持。第二服务器上你有没有一个能登录的账号并且知道它的密码或已有登录方式。配置密钥的前提是「你至少能进去一次」把公钥放进去之后才能免密。第三服务器 sshd 是否允许公钥认证。绝大多数云主机默认是开的但有些镜像或安全加固过的系统会关掉需要改/etc/ssh/sshd_config。TaoToken 在这里的角色是「密钥与模型访问的统一入口」。当你在 VS Code 或 Cursor 里跑 Claude Code、Cline 这类编码 Agent 时它们通常需要 API Key 去调用模型。与其把 Key 硬编码在项目里不如在 TaoToken 控制台生成一个专用 Key通过环境变量注入。这样 SSH 免密解决的是「怎么进服务器」TaoToken 的 API Keys 解决的是「进去之后 Agent 怎么调模型」两件事分开管理互不污染。TaoToken 的接入文档在 https://taotoken.net/api API Keys 管理页面在 https://taotoken.net/api-keys 模型对话调试入口在 https://taotoken.net/models 。如果你只是配 SSH这些可以先放着等 Agent 跑起来再回来配。3. 可复制配置客户端生成密钥 服务器写入 authorized_keys3.1 客户端生成密钥对在本地终端执行不要加 sudo密钥要属于当前用户ssh-keygen -t ed25519 -C your_emailexample.com -f ~/.ssh/id_ed25519参数说明-t ed25519指定算法-C是注释方便你日后辨认这把钥匙是谁的-f指定输出路径。执行后会提示你设置 passphrase如果追求完全免密直接回车留空如果在意私钥安全设一个 passphrase配合 ssh-agent 也能做到只输一次。生成完检查一下ls -al ~/.ssh/id_ed25519*应该看到id_ed25519私钥权限 600和id_ed25519.pub公钥。私钥权限不对 SSH 会拒绝使用如果权限是 644执行chmod 600 ~/.ssh/id_ed25519。3.2 把公钥推到服务器最省事的方式是用ssh-copy-idssh-copy-id -i ~/.ssh/id_ed25519.pub -p 22 root36.103.199.000它会提示你输入一次服务器密码然后把公钥追加到服务器的~/.ssh/authorized_keys。如果本地没有ssh-copy-id比如某些 Windows 环境用这条等价命令cat ~/.ssh/id_ed25519.pub | ssh -p 22 root36.103.199.000 mkdir -p ~/.ssh chmod 700 ~/.ssh cat ~/.ssh/authorized_keys chmod 600 ~/.ssh/authorized_keys注意这里对目录和文件权限做了收紧.ssh必须是 700authorized_keys必须是 600否则 sshd 会因为权限过松拒绝读取公钥这是新手最常踩的坑之一。3.3 服务器端确认 sshd 配置登录服务器编辑/etc/ssh/sshd_config确认这几项PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys PasswordAuthentication yes PermitRootLogin prohibit-password逐条解释PubkeyAuthentication yes是公钥认证的总开关必须开AuthorizedKeysFile指定公钥文件位置默认就是.ssh/authorized_keysPasswordAuthentication yes建议先保留等确认密钥能登录了再考虑关掉否则配错了会把自己锁在外面PermitRootLogin如果要用 root 登录设成prohibit-password表示只允许密钥不允许密码比yes安全。改完重启 sshdsudo systemctl restart sshd容器场景里可能没有 systemd用sudo service ssh restart3.4 客户端写 ~/.ssh/config这是让 VS Code 和 Cursor 都能识别的主配置。编辑~/.ssh/configHost myserver HostName 36.103.199.000 User root Port 22 IdentityFile ~/.ssh/id_ed25519 IdentitiesOnly yes ForwardAgent yes ServerAliveInterval 60 ServerAliveCountMax 3参数逐个说Host myserver是你自己起的别名之后ssh myserver就能连HostName是真实 IP 或域名IdentityFile指向私钥IdentitiesOnly yes强制只用指定的这把钥匙避免 SSH 把本地所有密钥挨个试一遍导致认证失败ForwardAgent yes允许在服务器上复用本地 agent跳板机场景有用ServerAliveInterval 60每 60 秒发一次心跳防止长时间不操作被防火墙断开VS Code 远程开发时这个很关键。配好之后VS Code 的 Remote-SSH 插件和 Cursor 的 Remote-SSH 都会读取这个文件在连接列表里直接选myserver即可不用再手填 IP 和端口。4. 验证请求从命令行到编辑器的完整链路4.1 命令行验证先别急着开编辑器用命令行确认密钥认证通了ssh -v myserver-v会打印详细握手过程。重点看输出里有没有这几行debug1: Offering public key: /Users/you/.ssh/id_ed25519 ED25519 debug1: Server accepts key: /Users/you/.ssh/id_ed25519 ED25519 debug1: Authentication succeeded (publickey).看到Authentication succeeded (publickey)就说明免密成功全程没提示输密码。如果还提示密码说明公钥没被服务器接受跳到第 5 节排查。4.2 VS Code 连接打开 VS Code安装 Remote - SSH 扩展按F1输入Remote-SSH: Connect to Host选择myserver。首次连接会在服务器上装 VS Code Server装完就能直接进远程目录。之后每次连接都是秒进不再问密码。4.3 Cursor 连接Cursor 基于 VS Code操作几乎一样。Cmd/Ctrl Shift P打开命令面板输入Remote-SSH: Connect to Host选myserver。Cursor 会复用同一份~/.ssh/config所以不用重复配置。4.4 验证 Agent 侧的模型调用如果你在远程环境里跑 Claude Code 或 Cline需要让它们能调模型。在服务器上设置环境变量export ANTHROPIC_BASE_URLhttps://taotoken.net/api export ANTHROPIC_API_KEY你的TaoToken密钥密钥在 https://taotoken.net/api-keys 生成。设置完在远程终端里跑一次模型对话验证curl https://taotoken.net/api/v1/messages \ -H x-api-key: $ANTHROPIC_API_KEY \ -H anthropic-version: 2023-06-01 \ -H content-type: application/json \ -d {model:claude-sonnet-4-20250514,max_tokens:64,messages:[{role:user,content:ping}]}返回正常 JSON 就说明远程环境到模型的链路通了。这一步和 SSH 免密是独立的但组合起来才是完整的「远程开发 Agent 编码」工作流。长期跑编码 Agent 的话可以在 https://taotoken.net/coding-plan 看套餐避免按量计费跑飞。5. 本篇常见错排查5.1 Permission denied (publickey)最常见。按顺序查服务器~/.ssh/authorized_keys里有没有你的公钥内容cat ~/.ssh/authorized_keys对比本地cat ~/.ssh/id_ed25519.pub权限对不对.ssh700authorized_keys600家目录不能是 777sshd_config 里PubkeyAuthentication是不是 yes改完有没有重启 sshd。5.2 一直提示输密码但密码正确也进不去多半是IdentitiesOnly没设SSH 把本地一堆密钥挨个试试到次数上限被服务器拒绝。在 config 里加上IdentitiesOnly yes并明确IdentityFile。5.3 VS Code 连上了但频繁断线远程开发时长时间不操作中间的网络设备会掐掉空闲连接。config 里加ServerAliveInterval 60和ServerAliveCountMax 3让客户端定期发心跳。如果还断检查服务器 sshd_config 里的ClientAliveInterval。5.4 改了 sshd_config 后 SSH 服务起不来九成是配置语法错误。改之前先备份改完用sshd -t测试语法sudo sshd -t没输出就是语法 OK有报错按行号改。千万别在没测试的情况下重启否则可能把自己锁在外面只能走云厂商的 VNC 控制台救。5.5 私钥权限报错报Permissions 0644 for id_ed25519 are too open就是私钥权限太松。执行chmod 600 ~/.ssh/id_ed25519即可。Windows 上如果用的是 WSL同样按 Linux 权限处理如果是原生 OpenSSH需要在文件属性里收紧 ACL。5.6 多台服务器密钥混用如果你有多把密钥对应不同服务器在 config 里为每个 Host 指定不同的IdentityFile并都加上IdentitiesOnly yes。不要指望 SSH 自己猜对。6. 配好之后把密钥和模型访问都收进统一入口SSH 免密配完日常远程开发的体验会有明显变化VS Code 和 Cursor 打开即连终端ssh myserver直接进跳板机、多服务器切换都靠 config 里的别名搞定。这套配置一次写好长期受益。接下来值得做的是把「密钥管理」这件事也规范化。SSH 私钥留在本地~/.ssh权限收紧模型 API Key 不要散落在各个项目的.env里统一在 TaoToken 控制台生成和管理。需要调试模型时用 https://taotoken.net/models 的对话入口快速验证需要看接入细节翻 https://taotoken.net/api 的文档跑长期编码 Agent 前先在 https://taotoken.net/coding-plan 确认套餐额度避免中途断供。一个实用习惯把~/.ssh/config纳入你的 dotfiles 仓库管理私钥本身不要提交换机器时 clone 下来就能恢复所有服务器别名。服务器端的authorized_keys则按需追加离职或换机时记得把旧公钥删掉这是很多人会忽略的安全细节。