背景服务器默认用密码登录 SSH全世界扫描器每天来撞几十万次。想改成只允许密钥登录顺便给 CI 密钥加个只能跑部署脚本的限制。原因密码可以暴力破解。密钥几乎不能——它需要你的私钥文件光猜是猜不到的。再加上 command 限制即使私钥泄露攻击者也只能执行指定的一条命令——把爆炸半径从整个服务器缩小到一个脚本。解决禁用密码登录和 root 登录sudonano/etc/ssh/sshd_config改这几行PermitRootLogin no PasswordAuthentication no PubkeyAuthentication yes MaxAuthTries 3重启sudosystemctl restart sshd⚠️先确认你的密钥能登录再重启——否则会把自己锁在外面。sudosshd-T|grep-Epermitrootlogin|passwordauthentication|maxauthtries输出permitrootlogin no passwordauthentication no maxauthtries 3给 CI 密钥加 command 限制打开 ~/.ssh/authorized_keys找到 CI 密钥那一行比如末尾注释是 github-actions-deploy在最前面加上command/home/你的用户名/你的项目目录/deploy.sh,no-port-forwarding,no-pty ssh-ed25519 AAAA... github-actions-deploy含义command“…” → 这个密钥登录后只能执行这条命令不能执行别的no-port-forwarding → 禁止端口转发防止用 SSH 隧道绕过限制no-pty → 不分配终端防止进入交互式 shell验证个人密钥仍能登录新开一个终端不要关闭当前会话执行sshYOUR_USERYOUR_SERVER_IP能进 → 加固没把自己锁外面。验证 CI 密钥仍能部署改一行代码 pushcd/home/YOUR_USER/appechoREADME.mdgitaddREADME.mdgitcommit-mtest: SSH 加固后验证gitpush去 GitHub Actions 看结果。绿色 加固没破坏 CI/CD。三个坑坑 1改完 SSH 配置直接重启——先另开一个窗口验证密钥能登录确认没锁死再关旧会话。坑 2command 后面写相对路径。必须是绝对路径比如 /home/YOUR_USER/app/deploy.sh否则执行时会找不到文件。坑 3CI 密钥加了 command 限制后它能执行的只有这一条命令。如果 deploy.sh 里调用了别的脚本那些脚本依然能被执行子进程不算新命令。所以加固的真正边界是deploy.sh 里的内容——deploy.sh 要写安全别在里面 eval 用户输入。