SSH 报 Bad owner or permissions先去 TaoTokenhttps://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 拿一把 Key剩下的核对工作交给 Codex。现场很具体VS Code 装上 Remote-SSH 插件主机填 rootipaddr第一次连接就弹Bad owner or permissions on C:\Users\19046/.ssh/config提示里点名\\Everyone (S-1-1-0)。照着提示把 Everyone 权限删掉连接确实能过但每次点开服务器上的文件夹还是要重新输一次密码、重新在列表里挑一次 Linux。这篇就把原文那串手动步骤重新排一遍——右键查属性、ssh-keygen -m PEM -t rsa -C centos7、cat id_rsa.pub authorized_keys、把 id_rsa 挪回 Windows、往 config 补 IdentityFile、往 settings.json 补 remotePlatform 和 useLocalServer——中间插一个 Codex 当核对员让它拿着清单跟你对权限和路径。有一点先摆正TaoToken 在这条链路上只负责给 AI 编程工具提供 Key 和 Base URLSSH 的 ACL、密钥、VS Code 的设置它一概不碰icacls、ssh-keygen、chmod这些命令始终由你自己在终端里敲。1. Bad owner or permissions 到底在校验哪个文件的属主1.1 报错里为什么同时出现 Windows 路径和 SIDWindows 自带的 OpenSSH 客户端在读取用户级 config 时会先做一次属主校验这个文件的 ACL 里如果混进了非当前用户、非 SYSTEM、非 Administrators 的条目它会直接判定文件不可信并拒绝加载。报错原文里的\\Everyone (S-1-1-0)就是那个多出来的条目S-1-1-0是 Everyone 这个内置组的 SID跟中文名还是英文名无关看 SID 最准。Remote-SSH 做的事情是先在 Windows 本地起一次 ssh 连接本地这一层过不去后面 Linux 上的authorized_keys根本没机会被读取。所以看到这个报错时先别怀疑服务器上的公钥问题在本地这个文件身上。至于 Everyone 是怎么混进来的常见几种从别的机器直接拷过来的.ssh目录带上了原机器的 ACL解压压缩包时继承了父目录权限用同步盘同步过整个.ssh文件夹。这类情况不只是 config整个.ssh目录都可能带着继承条目。1.2 在本机把证据抓出来别急着删打开一个普通的 cmd 或 PowerShell 窗口跑这几条icacls %USERPROFILE%\.ssh icacls %USERPROFILE%\.ssh\config dir %USERPROFILE%\.ssh输出里正常应该只有三类NT AUTHORITY\SYSTEM、BUILTIN\Administrators、以及你自己的账号。看到Everyone、S-1-1-0、或者带(I)标记的继承项就说明还有东西要清。dir那一条是顺便看看目录里到底有哪些文件后面跟 Codex 对路径的时候要用。GUI 路线跟原文一致到C:\Users\19046\.ssh目录下右键config→ 属性 → 安全 → 编辑 → 选中 Everyone → 删除 → 一路确定。这里有个容易漏的点如果父目录.ssh本身的继承没断删完 config 上的 Everyone下次动这个文件它可能又回来。稳妥一点先把父目录的继承断开再给自己授权icacls %USERPROFILE%\.ssh /inheritance:r icacls %USERPROFILE%\.ssh /inheritance:r /grant:r %USERNAME%:F icacls %USERPROFILE%\.ssh\config /inheritance:r /grant:r %USERNAME%:F提示改 ACL 之前先备份一份icacls %USERPROFILE%\.ssh /save %USERPROFILE%\ssh_acl_backup.txt出问题能还原。不要去动C:\Users\19046这一层的权限那只影响一个目录不要往上放大。2. 给 Codex 备一条通道TaoToken 出 KeyBase URL 写进 config.toml2.1 在控制台创建 YOUR_API_KEY打开 TaoToken 注册登录进控制台找到 API Keys 那一栏新建一把 Key复制出来先放本地记事本。这把 Key 只用于 AI 编程工具调用模型跟 SSH 登录完全是两回事别想着拿它去连服务器。同一页面上还能看到模型广场的列表模型 ID 就从那里抄以模型广场当时的列表为准别凭记忆写一个带日期后缀的名字。顺手也看一眼用量统计的位置后面验证阶段要回来对。2.2 C:\Users\19046.codex\config.toml 里怎么写Codex 的配置不走环境变量文件那一套它读的是用户目录下的config.toml。Windows 上的完整路径是C:\Users\19046\.codex\config.toml没有就自己建一个model_provider taotoken model YOUR_MODEL_ID [model_providers.taotoken] name TaoToken base_url https://taotoken.net/api env_key TAOTOKEN_API_KEY wire_api chat三个地方别写错。base_url就是https://taotoken.net/api末尾不要加 /v1也不要图省事把官网地址填到这个字段里那不是一个东西。model用YOUR_MODEL_ID占位真实值去模型广场抄。env_key指向的是下面这个环境变量名不是 Key 本身。Key 通过环境变量传进去在 cmd 里跑setx TAOTOKEN_API_KEY YOUR_API_KEYsetx写的是用户级持久变量跑完要重开一个终端才生效。这条命令别在聊天窗口或者共享屏幕上执行Key 会明文留在历史里。2.3 先用一句话确认通道通了重开终端后在任意目录跑一句试试codex 用一句话说明你现在跑的模型名能正常回话说明 Key、Base URL、模型 ID 三样都对上了。如果报 401八成是复制 Key 的时候带了空格或者少了一段回控制台重新复制一次如果报 404 或者路径相关的错先检查base_url是不是被手滑写成了https://taotoken.net/api/v1或者多带了尾巴。这两个错都在 Codex 这一侧跟 SSH 没半点关系先分清再排查。3. 让 Codex 逐条核对 .ssh/config而不是替你执行3.1 把清单和证据一起递过去这里要先说清边界Codex 看不到你的 C 盘也连不上那台 Linux 服务器它能做的是把两份文本对齐——一份是icacls和dir的输出一份是 config 的内容——然后指出哪里对不上。命令还是你跑。把下面这段连同输出一起发给它我在 Windows 上用 VS Code Remote-SSH 连 Linuxrootipaddr 报 Bad owner or permissions on C:\Users\19046\.ssh\config提示提到 \\Everyone (S-1-1-0)。 以下是我本机 icacls 和 dir 的输出以及 .ssh/config 的内容已去掉私钥内容 粘贴输出 请只做三件事 1. 指出 .ssh 目录和 config 文件里还有哪些不该出现的 ACL 条目 2. 对照 config 内容检查 IdentityFile 指向的私钥路径是否存在、文件名大小写是否一致 3. 分别列出我需要在 Windows 本地执行的命令和需要在 Linux 服务器终端执行的命令。 不要假设你能连到我的服务器不要生成任何直接操作远程主机的命令。注意粘贴给模型的只能是 ACL 输出、目录列表、config 文本。私钥文件内容、authorized_keys全文都不要往里贴那些属于凭据不属于核对材料。3.2 IdentityFile 这一行的落位config 文件本身长这样写在C:\Users\19046\.ssh\config里Host centos7 HostName 你的Linux地址 User root IdentityFile C:\Users\19046\.ssh\id_rsaHost后面的centos7是个别名你自己起但记住这个名字下一节 settings.json 里要用同一个。IdentityFile那行的引号要成对盘符大小写跟实际路径保持一致有的人路径里用户名写成了别的机器的icacls输出里一眼就能看出来Codex 也会直接指出来。把这段 config 贴回对话让它和dir的输出对一遍看id_rsa是不是真的躺在C:\Users\19046\.ssh里。3.3 在 Linux 端生成密钥ssh-keygen -m PEM -t rsa -C centos7这一步在服务器上做就在你已经连上的那个终端里跑每次要输密码的那种也行ssh-keygen -m PEM -t rsa -C centos7回车之后一路回车到底不用设密码短语。-m PEM是关键它让私钥保持 PEM 格式某些版本的 Remote-SSH 对 OpenSSH 新格式的私钥支持不稳用 PEM 少一层变量。生成完继续cd /root/.ssh cat id_rsa.pub authorized_keys chmod 700 /root/.ssh chmod 600 /root/.ssh/authorized_keys原文里少了chmod这两行顺手补上因为authorized_keys权限过宽同样会被 sshd 忽略症状就是「明明配了公钥还是天天输密码」。跑完把这几条命令的输出ls -l之类不含私钥内容贴回 Codex让它确认公钥确实追加上去了、文件权限是 700/600。3.4 把 id_rsa 挪回 C:\Users\19046.ssh私钥要放到 Windows 侧IdentityFile指向的位置。原文的做法是在服务器上生成、再把id_rsa搬到主机.ssh目录照做就行scp rootipaddr:/root/.ssh/id_rsa $env:USERPROFILE\.ssh\id_rsa拉回来之后建议把服务器上那份删掉或者收紧权限别让同一把私钥在两台机器上散着。拉回来的文件同样要过一次 ACL 检查icacls %USERPROFILE%\.ssh\id_rsa看有没有 Everyone。这一步做完把dir %USERPROFILE%\.ssh的输出贴给 Codex和 config 里的路径做最后一次对照文件名对不对、路径里的用户名对不对、Host名和后面要写的键名是不是同一个。4. 免密之后还要选服务器类型settings.json 补两行4.1 remote.SSH.remotePlatform 的键名必须对上 Host免密通了之后剩下的症状是每次点开文件夹都要在列表里挑一次 Linux。这一段跟 SSH 无关纯属 VS Code 的提示行为配置在用户设置里C:\Users\19046\AppData\Roaming\Code\User\settings.json。{ remote.SSH.remotePlatform: { centos7: linux }, remote.SSH.useLocalServer: true }原文里写的是centos: linux那是它的主机名。这里的键名要和你 Remote-SSH 列表里看到的名字、以及 config 里Host后面的别名三者一致值固定填linux。键名对不上这一节等于白写弹窗照旧。不想手改文件也可以按CtrlShiftP搜Remote-SSH: Settings在图形界面里填同一组值。4.2 remote.SSH.useLocalServer 的 true 和 false 差在哪true默认值表示 Remote-SSH 在本地起一个 SSH 代理进程复用它读到的本地 config、密钥和 ssh-agentIdentityFile这一行才会真正被用上。设成false就不用本地服务走另一条连接路径本地 config 的很多设定不会参与进来。原文把这项显式写成true就是为了保证本地那份 config 生效——尤其是你已经在里面写了IdentityFile的情况下。这两项放在用户 settings.json 里就够了不需要写进工作区设置。如果你之前改过工作区级别的settings.json注意它的优先级更高两边冲突时以工作区那份为准排查时可以先把工作区那份里的相关键删掉。4.3 保存、断开、重连三件事按顺序验CtrlS保存之后不要在当前窗口里点刷新直接关掉远程窗口重新连一次centos7然后点开/root或/home下任意一个目录。三种结果分别对应三件事不再弹密码说明公钥和IdentityFile生效了不再问 linux 还是 windows说明remotePlatform生效了还弹任何一个回下一节对照。想更确定一点在本机 cmd 里直接测本地 config 有没有被正确解析ssh -v centos7输出里出现Offering public key并且最终Authentication succeeded就说明本地这侧已经完全打通。-v的完整输出里如果有多个identity file尝试记录可以顺便看看它有没有读到C:\Users\19046\.ssh\id_rsa。5. 还是不通时的三组对照5.1 又弹一次 Bad owner or permissions说明.ssh目录这一层的继承没断干净config 上删掉的 Everyone 被父目录又带了回来。回到 1.2 的icacls命令重点看.ssh目录本身必要时/inheritance:r之后重新给自己的账号授权再对 config 单独做一遍。改完用icacls复查一遍输出把两次输出一起贴给 Codex让它确认条目是从这一层消失的而不是被别的地方重新引入。5.2 反复要密码或者 Permission denied (publickey)按这个顺序查前两条最常见authorized_keys是不是在/root/.ssh下。root 用户的家目录就是/root别写到/home/某个用户名/.ssh去了。权限是否收紧.ssh700、authorized_keys600、id_rsa600。宽一个数字都可能被 sshd 静默忽略。公钥有没有真的追加上去wc -l /root/.ssh/authorized_keys看行数tail -1 /root/.ssh/authorized_keys看最后一行是不是ssh-rsa开头。IdentityFile路径拼写、盘符大小写、引号是否成对。这类问题看ssh -v的输出最快它会明确告诉你尝试了哪个文件。私钥格式用了-m PEM生成的话文件头应该是-----BEGIN RSA PRIVATE KEY-----如果开头是-----BEGIN OPENSSH PRIVATE KEY-----说明那一步没生效重新生成一次。5.3 Codex 侧报错怎么对回去Codex 这边只可能出两种错且都不涉及 SSH。401 是 Key 本身的问题多半是复制不完整或者末尾带了空格、换行回控制台重新复制一次再setx覆盖重开终端。路径类报错是 Base URL 的问题检查base_url是不是https://taotoken.net/api末尾别加/v1也别填成官网地址。模型名不认识的话回 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 的模型广场照抄一个当前在列表里的 ID别自己拼后缀。6. 连上之后回控制台对一下这次核对settings.json保存、远程窗口重连成功之后先别急着关掉这一摊。用同一把 Key 在 TaoToken 模型对话 里发一条测试消息确认模型 ID 和 Base URL 在对话侧也对得上免得下次换机器时又要从头试。之后如果要长期用 Codex 读 config、对权限、写脚本可以打开 Coding Plan 看套餐够不够用Key 需要轮换或者再建一把时在 控制台 API Keys 里操作。最后留个提醒Codex 在这套流程里干的是「对齐文本」的活——把 ACL 输出、config 内容、目录列表摆在一起找矛盾。它不会替你连服务器不会替你改 C 盘权限也不会替你在 Linux 上跑ssh-keygen。icacls、scp、chmod、ssh -v这些命令由你在这台 Windows 和那台 Linux 上执行跑完把输出贴回对话它再判读。这个分工定住了后面再遇到类似的远程开发问题你手里就有一套能复用的排查方式而不是每次靠猜。