1. 开始之前openEuler 24.03 环境印象与准备工作做运维和开发这些年我越来越习惯了这么一件事拿到一台新机器或者换了一个新系统版本最先折腾的往往不是业务本身而是把基础工具链先理顺。openEuler 24.03 这个版本默认安装完之后很多朋友会直接敲git --version然后发现系统里压根没有Git或者版本老得可以进博物馆了。本文就把我在 openEuler 24.03 上从零安装 Git、以及搞定 SSH 免密登录的完整过程记录下来整个过程不需要图形界面纯命令行操作适合服务器环境、云主机、以及所有习惯在终端里干活的人参考。先说清楚这篇文章能解决什么问题。不管你是要用 Git 拉取公开仓库、往 GitLab/Gitee/GitHub 推代码还是需要在多台服务器之间互相免密 SSH 传输文件核心需求就两个第一把 Git 装好、配置好让它不乱报错、不乱码、不反复要密码第二把免密通道打通让git clone、git push、ssh userhost这类操作不再每次卡在密码输入上。对于刚接触 openEuler 的Linux新手或者被Git各种诡异报错搞到头大的老同事这篇文章应该都能帮上忙。动手之前先交代一下我踩过的坑和总结出的思路。openEuler 24.03 默认软件源里的 Git 版本是够用的绝大多数场景下我们根本不需要源码编译直接用系统的包管理器dnf就能装。但是如果你对 Git 版本有硬性要求比如要体验最新的 worktree 改进、或者 CI 流程要求特定版本那就得走编译安装的路子。至于免密配置核心就三个要素密钥对生成、公钥分发、权限设置。很多人配完免密还是登不上十有八九是卡在权限上——~/.ssh目录多了个不该有的写权限或者authorized_keys文件权限太开放SSH 直接拒绝信任。这些细节我在后面的章节会逐个拆开讲。另外动手之前还得检查一件事系统时间是否准确。你可能会觉得奇怪装 Git 和系统时间有什么关系有而且关系还不小。如果你的系统时间比实际时间快了很多或者慢了很多后续用 HTTPS 拉代码的时候证书校验会报错用 SSH 拉代码的时候在某些严格配置下也会出奇怪的问题。所以先把时间校一下timedatectl看看状态必要时用chronyc或者手动date设置一下免得后面排查了半天发现是时间漂移在捣鬼。2. Git 安装系统源安装与源码编译的取舍2.1 用 dnf 快速安装并验证openEuler 24.03 的软件管理沿用了 RHEL 系的 dnf 工具安装 Git 的命令非常简单sudo dnf install -y git安装过程通常几十秒就结束了因为 Git 的依赖包不多主要就是git-core那一套。装完后先别急着用做两件事验证版本、确认基础组件齐全。git --version git config --global --list第一行命令会输出类似git version 2.39.3的信息。不同小版本的 openEuler 自带的 Git 版本略有差异如果你发现版本是 2.3x 系列完全够日常使用。第二行命令是查看全局配置如果提示fatal: unable to read config file说明你还没配置过全局信息这很正常后面章节会补上。这里我要多说一句为什么推荐先用系统的dnf安装。很多人一上来就想着“我要装最新的 Git”结果陷入依赖地狱——编译缺这缺那装了一堆库最后还是失败。其实 openEuler 24.03 作为一个企业级发行版它源里的 Git 版本和系统其他组件的兼容性是测试过的直接装最省心。而且系统源安装的好处是后续安全补丁会跟着系统更新一起推送你不需要手动维护 Git 的二进制包。除非你有明确的需求要某个特定新版本特性否则真心建议先用dnf装完跑一段时间真不够用了再考虑升级方案。2.2 源码编译安装高版本 Git 的完整步骤有些场景确实需要更高版本的 Git比如 Git 2.40 以后对 SHA-256 仓库的支持更完善或者你想体验git range-diff的新参数。这时候就需要源码编译。这个过程在 openEuler 上其实不难但有几个细节必须注意。第一步安装编译依赖sudo dnf install -y gcc make autoconf dh-autoreconf iptables libcurl-devel openssl-devel zlib-devel expat-devel gettext-devel perl-ExtUtils-MakeMaker这里面的依赖看着多其实都是为了满足 Git 的各类功能curl-devel是支持通过 HTTP/HTTPS 拉代码的openssl-devel是支持 TLS 和 SSH 传输底层加密的zlib-devel是压缩数据用的gettext-devel是为了生成多语言消息。少装了任何一样编译出来的 Git 都可能出现功能缺失比如只能用 SSH 不能用 HTTPS。第二步下载源码并解压。去 Git 官方仓库、或者国内的镜像站点拿源码包我一般习惯用固定版本号下载避免“最新版”带来的不确定性wget https://github.com/git/git/archive/refs/tags/v2.43.0.tar.gz tar -xzf v2.43.0.tar.gz cd git-2.43.0第三步编译安装。这里有个经验之谈一定要指定安装前缀否则默认装到/usr/local下面还好但如果你想和系统自带的 Git 区分建议放到/usr/local/git这样单独的目录里make configure ./configure --prefix/usr/local/git make -j$(nproc) sudo make install装完之后系统的git命令可能还是指向旧版本因为/usr/bin/git的优先级高于/usr/local/git/bin/git。需要调整 PATH 环境变量echo export PATH/usr/local/git/bin:$PATH ~/.bashrc source ~/.bashrc git --version看到输出变成你编译的版本号就说明替换成功了。2.3 包管理器版本与源码版本的对比建议很多朋友会在“装系统源版本”和“编译最新版”之间纠结。我把两者的差异简单列一下对比维度dnf 系统源安装源码编译安装安装速度快几十秒慢取决于机器性能通常5-15分钟版本新旧跟随发行版通常落后一两个大版本完全自控可装任意指定版本依赖处理dnf 自动解决手动安装依赖容易漏装后续升级系统更新时自动升级需要自己重新编译或维护脚本稳定性发行版测试过最稳需要自己验证适用场景日常开发、生产环境默认选择需要新特性、或者特殊定制场景如果你只是想尽快把 Git 用起来我强烈建议直接走dnf路线。不要为了“版本要新”而给自己挖坑。等哪天你确实遇到了旧版本满足不了的功能缺陷再编译也不迟到时候上面的步骤直接抄作业就行。3. 基础配置补齐身份信息与绕开中文乱码3.1 全局用户信息与常用配置项Git 安装好之后的第一件事不是急着去 clone 仓库而是先配置身份信息否则 commit 的时候会报Please tell me who you are的错误。配置命令很常规但有几个思考点值得展开。git config --global user.name 你的名字 git config --global user.email youexample.com这里的邮箱不一定要真实邮箱但建议用你在代码托管平台上注册邮箱相同的地址这样提交记录能正确关联到你的账号。很多人图省事随便填一个结果代码提交到 GitLab 上显示的是个陌生头像后面再改就更麻烦了。除了身份信息还有几个全局配置项我建议一起设置git config --global core.editor vim git config --global push.default simple git config --global init.defaultBranch main git config --global http.postBuffer 524288000core.editor设置成 vim这样提交信息需要编辑的时候不会卡在 nano 上。push.default设置成 simple 是 Git 2.x 的默认值但显式写出来能避免某些老配置模板把它改掉。init.defaultBranch设成 main符合当前主流习惯也避免每次 init 都要手动改分支名。http.postBuffer调大是为了推送大文件时不频繁报RPC failed错误500M 是我试过比较稳妥的值。3.2 中文乱码问题一起解决openEuler 默认 locale 通常是C或者en_US.UTF-8Git 在处理中文文件名和中文 commit 信息时经常显示成\346\265\213\350\257\225这种八进制转义看着极其痛苦。解决方案也很简单git config --global core.quotepath false git config --global core.encoding UTF-8 git config --global gui.encoding UTF-8 git config --global i18n.commitEncoding UTF-8 git config --global i18n.logOutputEncoding UTF-8第一行core.quotepath false是最关键的它让 Git 直接显示原始字符而不是转义后的八进制码。后面四行确保提交信息和对数输出都用 UTF-8。设置完之后git status里就能正常看到中文文件名了。如果你用的是 Xshell、MobaXterm 之类的终端工具记得把终端的字符集也设置成 UTF-8否则在系统层面就会乱码。3.3 一个实用的 .gitignore 模板配置完全局设置每次新建仓库时你还需要一份靠谱的.gitignore。我自己的模板长期维护不同类型项目会把对应规则加进去。这里给一个通用版# 系统文件 .DS_Store Thumbs.db # 日志与临时文件 *.log *.tmp *.swp *~ # 编译产物 build/ dist/ target/ *.class *.jar *.war *.o # 编辑器与IDE .idea/ .vscode/ *.iml.gitignore的好处不用多说但有一点很多人会忽略规则要尽早提交到仓库里。如果项目已经跟踪了一些不该跟踪的文件后面再补.gitignore是不生效的必须用git rm --cached把它们从索引里移除操作起来很麻烦所以新建仓库的第一件事就是放好.gitignore。4. SSH 免密登录原理、配置与安全边界4.1 免密登录到底是怎么工作的免密登录的原理本质上是非对称加密的一对密钥在扮演“通行证”的角色。你的机器上保存一把私钥相当于你的身份证服务器上存一把公钥相当于门卫手里的登记册。当你发起 SSH 连接时服务器会用登记册里的公钥加密一段随机数据发给你你的本机用私钥解密后再返回给服务器服务器验算通过就放你进门。整个过程不传输密码所以叫“免密”。这里一定要理解清楚公钥不怕公开私钥绝对不能泄露。公钥放到任何一台服务器上都没关系因为拿到公钥的人只能验证“你有对应的私钥”但无法反推出私钥本身。而私钥一旦泄露等于别人拿到了你的身份证原件所有信任这台服务器的通道都会被入侵。所以私钥文件放在本机~/.ssh/目录下之后默认权限必须是600或更严格。4.2 生成密钥对为什么我推荐 Ed25519生成密钥对的命令只有一行ssh-keygen -t ed25519 -C 你的备注回车之后会问你保存路径默认是~/.ssh/id_ed25519直接回车。接着会让你设置 passphrase也就是私钥的密码短语。这里我的建议是设置一个哪怕短一点。设置了 passphrase 并不影响免密登录的“免密”体验因为系统会在你登录桌面时把私钥加载到 ssh-agent 内存里后续连接并不需要重复输入。但如果你完全不做任何设置一旦私钥文件被复制走对方直接就能用没有任何一层保护。关于密钥类型我推荐Ed25519而不是传统的RSA。原因有几个Ed25519 密钥长度更短、生成和验证速度更快、安全性在现代密码学标准里也更高。RSA 密钥动辄 2048 位甚至 3072 位文件又长又难处理。如果你一定要和非常老旧的系统兼容再考虑rsa类型否则无脑选择ed25519就行。生成完密钥后你的~/.ssh目录下会多出两个文件id_ed25519私钥和id_ed25519.pub公钥。可以看一眼公钥内容后面要用cat ~/.ssh/id_ed25519.pub4.3 把公钥分发到服务器两个方法都给你分发公钥最标准的方式是ssh-copy-id命令。以 openEuler 服务器为例假设你的服务器 IP 是192.168.1.100用户名是gitee_runner执行ssh-copy-id gitee_runner192.168.1.100执行过程中会提示输入一次密码这是最后一次输入密码了。命令执行完它会把你的公钥追加到服务器的~/.ssh/authorized_keys文件里同时自动处理好权限问题。如果你的机器上没有ssh-copy-id比如某些精简版的系统没装这个工具手工操作也很简单一条命令搞定cat ~/.ssh/id_ed25519.pub | ssh gitee_runner192.168.1.100 mkdir -p ~/.ssh chmod 700 ~/.ssh cat ~/.ssh/authorized_keys chmod 600 ~/.ssh/authorized_keys这条命令会登录到服务器自动创建~/.ssh目录如果不存在设置目录权限700把公钥追加到authorized_keys里并设置文件权限600。权限这一步一定不能省这是SSH安全模型里非常关键的一环。4.4 权限和 sshd_config 里的关键参数为什么权限这么重要因为 SSH 不像普通应用那样只看“文件内容是否正确”它会检查整个信任链的文件归属和权限。如果~/.ssh目录的权限是755意味着其他用户可以进入这个目录看到里面的密钥文件SSH 出于安全考虑会拒绝使用这个目录里的任何密钥。同理authorized_keys如果权限是644其他用户可读SSH 也会直接拒绝信任。所以标准配置是chmod 700 ~/.ssh chmod 600 ~/.ssh/id_ed25519 chmod 600 ~/.ssh/authorized_keys另外如果你能控制服务器端的sshd_config文件路径一般在/etc/ssh/sshd_config有几个参数建议检查一下PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys PermitRootLogin prohibit-passwordPubkeyAuthentication确保允许公钥登录方式。AuthorizedKeysFile指定公钥文件的位置。PermitRootLogin prohibit-password的意思是允许 root 通过密钥登录但不允许 root 密码登录这样既方便管理又降低了暴力破解风险。改完sshd_config记得重启服务sudo systemctl restart sshd4.5 为 Git 配置 SSH 免密remote URL 的写法SSH 免密配置好之后Git 这边其实不需要额外的设置关键在于你使用仓库的 URL 形式。如果你用 HTTPS 地址比如https://github.com/user/repo.gitGit 会走 HTTP 协议这时候免密配置完全不生效你仍然需要输用户名密码或者 Token。只有把 remote 地址改成 SSH 形式免密才起作用。SSH 形式的地址通常长这样gitgitee.com:user/repo.git gitgithub.com:user/repo.git ssh://git192.168.1.100:2222/user/repo.git如果你已经用 HTTPS 方式 clone 了仓库想切换成 SSH 免密模式执行git remote set-url origin gitgitee.com:user/repo.git之后执行git push就不会再问你密码了。这里有个小细节如果 Gitee、GitLab 这类平台用的端口不是默认的 22而是 443 或者 2222需要在 SSH 配置里单独指定端口或者把 URL 写成ssh://githost:port/user/repo.git的形式。4.6 一台机器管多个远端账号用 SSH config 做别名实际工作中一台开发机要同时连 Gitee、GitLab、GitHub 是常事。这时不同站点要用不同的密钥或不同的用户名。如果你只有一个密钥可以把同一个公钥添加到所有平台但如果你希望隔离不同平台的密钥或者需要 Host key 校验跳过一些内部环境就要用~/.ssh/config文件。下面是我自己常用的配置示例Host gitee HostName gitee.com User git Port 22 IdentityFile ~/.ssh/id_ed25519_gitee IdentitiesOnly yes Host github HostName github.com User git Port 22 IdentityFile ~/.ssh/id_ed25519_github IdentitiesOnly yes配置之后你 clone 仓库时可以把原来的gitgitee.com:user/repo.git改成gitgitee:user/repo.gitSSH 会自动读取对应的 HostName、端口和密钥文件。这个配置文件本身不要设置过宽的权限建议chmod 600 ~/.ssh/config否则 SSH 同样可能因为“config 文件权限问题”拒绝加载配置。5. 免密失败的常见场景与排查实录5.1 Host key verification failed 的两种成因这是我在 openEuler 上遇到最多的 SSH 报错之一。报错内容大致是The authenticity of host 192.168.1.100 cant be established. ED25519 key fingerprint is SHA256:xxxxxx. Are you sure you want to continue connecting?如果你第一次连接某个服务器看到这句是正常的输入yes回车即可系统会把服务器指纹写入~/.ssh/known_hosts。但如果你已经连过这台机器某天突然弹出这个提示那就要警惕了——可能是因为服务器系统重装导致主机密钥变了也可能是有中间人攻击。稳妥的处理方式不是直接yes而是先确认服务器的指纹是否真的变了通过服务器管理界面或者带外管理方式拿到正确指纹再去更新known_hostsssh-keygen -R 192.168.1.100这条命令会清除旧的指纹记录下一次连接时重新确认。还有一种情况是在/etc/ssh/ssh_known_hosts里配置了全局指纹但本机的~/.ssh/known_hosts里指纹冲突。这时候可以看看known_hosts里是否有重复条目用ssh-keygen -F 主机名查一下。5.2 Permission denied (publickey) 的排查顺序这个报错是免密配置失败最典型的表现。按我的排查习惯从上到下依次检查第一服务器端authorized_keys是否真的包含了你的公钥。用编辑器打开确认注意不要有多余的空格或者换行错乱。cat ~/.ssh/authorized_keys第二权限是否正确。输入以下命令逐一检查输出ls -ld ~/.ssh ls -l ~/.ssh/authorized_keys ls -l ~/.ssh/id_ed25519~/.ssh必须是700两个关键文件必须是600或者400不能是777、755、644。第三客户端用的是不是正确的密钥文件。如果你有多个密钥SSH 默认按顺序尝试id_ed25519、id_rsa等文件。如果你的密钥文件名比较特殊需要显式指定ssh -i ~/.ssh/your_special_key userhost第四观察详细日志定位到底载入了哪个密钥。这一步是终极手段ssh -vvv userhost日志中会有Offering public key: ...这样的输出能看出你的客户端尝试提供了哪个公钥以及服务器为什么拒绝。同时服务器端日志在/var/log/secure或/var/log/auth.log里也会记录具体原因比如Authentication refused: bad ownership or modes看到这个就知道又是权限问题。5.3 每次都要输密码但明明已经配置了免密有一种比较迷惑的情况你明明已经把公钥放上去了ssh-copy-id也执行成功但每次连接还是要输密码。这种时候通常是因为 SSH 客户端和服务器协商的时候选用了密码认证而不是公钥认证。可以用ssh -v userhost查看详细流程如果看到Authentications that can continue: publickey,password说明服务器确实允许公钥认证但客户端没有“主动选择”公钥。这时候可以强制只允许公钥认证登录从而验证问题ssh -o PreferredAuthenticationspublickey userhost如果这条命令能免密登录而直接ssh userhost却要求密码说明客户端的认证优先级出了问题。在~/.ssh/config里增加Host * PreferredAuthentications publickey PasswordAuthentication no这个配置能确保任何情况下都优先公钥认证不给密码认证留机会。当然后续如果你确实需要密码登录某些机器要临时用-o PasswordAuthenticationyes覆盖。另一种可能性是服务器端打开了UsePAM yes并且 PAM 配置强制要求键盘交互认证这种情况也会导致看似免密配置正确但仍然要密码。可以尝试在命令行加-o KbdInteractiveAuthenticationno来跳过。5.4 git 命令报 not a git repository 的快速判断还有一类高频报错和免密无关但和 Git 使用强相关顺便一起排查了。报错信息是fatal: not a git repository (or any of the parent directories): .git这个报错说明你当前所在的目录不是 Git 仓库且其父目录也不是。常见原因有三种第一种clone 或 init 还没执行。你在一个空目录里就想直接git status当然会报错。解决方式是先执行git init或者git clone。第二种你在错误的分支里。比如你cd到了一个子目录而这个子目录不属于任何仓库。这种情况最容易发生在项目包含多个子项目的时候进错了目录层级。第三种环境变量GIT_DIR指向了错误路径或者.git文件注意不是目录内容损坏。如果你是用git worktree管理的多工作树.git是一个文本文件而不是目录内容写的是gitdir: /path/to/other/.git/worktrees/xxx一旦这个路径失效就会出现上面的报错。此时需要检查对应工作树的配置文件是否正确。5.5 推荐一套快速验证脚本为了节省排查时间我整理了一个快速验证函数放到~/.bashrc里每次配完新服务器可以直接跑ssh_check() { local host$1 local user${2:-$(whoami)} echo 检查本地密钥文件 ls -l ~/.ssh/id_* 2/dev/null echo 尝试连接 ssh -o BatchModeyes -o ConnectTimeout5 -o StrictHostKeyCheckingaccept-new ${user}${host} echo OK echo 退出码: $? }这个脚本用了BatchModeyes它会让 SSH 在需要密码时直接失败而不是停下来等待输入。如果免密配置成功了输出OK如果失败会立刻抛出Permission denied之类的错误方便快速定位。6. 安全加固与后续维护建议免密配置完成后有两件事值得花点心思一是把服务器的密码登录关掉降低暴力破解风险二是想想密钥丢失或泄露了怎么办。先说服你关掉密码登录。在 openEuler 服务器上修改/etc/ssh/sshd_configPasswordAuthentication no ChallengeResponseAuthentication no UsePAM yes注意PasswordAuthentication no要在sshd_config里找到对应项并修改然后重启sshd服务。改完之后所有 SSH 连接只接受公钥认证暴力破解工具基本就失效了。但这里有个前提确认你的密钥已经配置成功并且能正常登录再执行这个操作。我见过有人兴致勃勃把密码登录关了结果发现自己的公钥因为权限问题没有生效最后只能通过带外控制台救急。所以每次改完 sshd_config先用sshd -t检查语法再重启然后开一个新终端测试登录成功后才关闭当前连接。针对密钥泄露风险我建议启用 ssh-agent 的密钥确认功能。在~/.ssh/config里添加Host * ConfirmHostKeyFingerprint yes或者更实用的做法给私钥设置 passphrase 后把私钥添加到 ssh-agenteval $(ssh-agent -s) ssh-add ~/.ssh/id_ed25519这样每次开机只需要输入一次 passphrase之后所有 SSH 操作都免密了即使私钥文件被复制走没有 passphrase 也无法使用。另外还有一个容易被忽略的问题authorized_keys里的公钥不要无限堆积。经常会有同事离职、服务器换人管理但公钥一直留在上面这是很大的安全隐患。建议定期整理删除不再使用的条目。同时如果某台开发机丢失第一时间要从所有服务器上删除对应的公钥不要心存侥幸。7. 我自己踩过的一些坑最后拿出来说说最后聊几个我实际踩过、印象特别深的坑希望能帮你少走弯路。第一个坑服务器上的authorized_keys文件换行符问题。有一次我用 Windows 上的编辑器往服务端复制公钥内容Windows 的换行符和 Linux 不一样直接导致公钥内容被截断SSH 一直报Permission denied。排查了很久才用cat -A看到行尾奇怪的^M符号。后来我学乖了分发公钥一律用ssh-copy-id命令或者直接在 Linux 上用echo追加再也不手动粘贴了。第二个坑装了多个版本的 Git 导致命令混乱。我有台机器之前手动编译过新版 Git后来又在某个项目里用了系统自带的 Git两个版本交替使用时会出现git命令指向/usr/local/bin/git但系统库路径和编译路径不匹配的情况表现是某些子命令报奇怪的动态链接错误。后来我把源码编译的 Git 彻底卸载统一用 dnf 维护版本世界清静了。如果你也遇到这种问题先执行which git看看到底用的哪个路径再决定清理哪一个。第三个坑git commit时编辑器报错原因是core.editor配置成了vim但系统里压根没装 vim只有 vi。如果你在精简版 openEuler 上遇到提交时直接退出、或者提示vim: command not found先执行vim --version看看有没有安装没有就用dnf install -y vim装一下或者把编辑器配置改成nano。这个问题的坑点在于 Git 报错很隐晦不会直接告诉你是编辑器缺失只会默默中止提交。第四个坑免密配置好后Git 推代码依然提示要用户名密码。这时候要检查 remote URL 是不是仍然是 HTTPS 开头。这个问题极其常见因为很多仓库模板默认提供 HTTPS 链接。解决方式前面说过用git remote set-url origin githost:user/repo.git改成 SSH 地址即可。注意GitLab 和 Gitee 的 SSH 地址格式略有差异别把git前缀给漏了。第五个坑某次升级 openEuler 之后sshd默认禁用了不安全的密钥算法导致我原来的 RSA 密钥突然失效。如果升级前你没注意版本说明升级后连接服务器会看到no matching key exchange method一类报错。解决方式通常有两种换用新的 ed25519 密钥或者在客户端配置里临时加上旧算法不推荐长期使用。我的建议是趁早把 RSA 密钥全部换成 ed25519别等到出了问题再处理。对了还有一个使用习惯问题不要在服务器上执行git config --global配置全局身份信息时顺手把邮箱填成了服务器主机名或者随机字符串。很多人在内网 GitLab 上开发图省事随便填了邮箱结果代码评审的时候别人根本找不到对应的人。建议每个角色、每台机器都使用统一的身份信息至少保证邮箱是可辨识的。如果你管理的机器很多可以用git config --global include.path引入公共配置文件把通用规则集中管理维护成本低很多。这些坑和技巧都是我在 openEuler 24.03 上折腾 Git 和 SSH 免密配置的真实记录。沿着前面章节的步骤走再对照这篇的排查清单相信你也能在一个小时内把基础环境完全理顺。以后不管是拉代码、推代码还是多台机器之间传文件都能省下不少“输密码”的时间和烦躁。