SSH 警告 "REMOTE HOST IDENTIFICATION HAS CHANGED" 怎么解决
SSH 主机密钥变化可能是合法换机，也可能是攻击。先经带外渠道核验新指纹，再针对正确主机和端口更新 known_hosts，不能盲删旧记录。
直接回答：先确认这台服务器近期重装过系统、重建过 VPS 或更换过 IP 绑定——通过带外渠道核对新主机密钥指纹后，才删除 known_hosts 中对应旧记录并接受新密钥。 Linux/macOS 执行 ssh-keygen -R 主机名或IP，Windows OpenSSH 同样可用 ssh-keygen -R，或谨慎编辑其 known_hosts。无法确认变更来源时，千万不要直接删记录了事。
这个警告在防什么
SSH 首次连接时会记录服务器的主机密钥指纹到 ~/.ssh/known_hosts。之后再连接时，客户端会核对指纹：
- 指纹一致 → 正常建立加密连接
- 指纹不一致 → 弹出
WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!，并拒绝继续
这是防中间人攻击的核心机制：如果有人劫持了你的连接、冒充目标服务器，他的密钥指纹必然对不上。
什么时候可以安全地清除旧记录
以下场景指纹变化是预期的：
- 服务器重装操作系统 / 重新生成过主机密钥（
ssh-keygen -A只生成缺失的默认主机密钥，不会替换已有文件） - 云服务器销毁重建后沿用了原 IP 或域名
- 域名解析切换到了另一台服务器
- 容器/虚拟机镜像重建
其他情况一律先向服务器管理员核实，通过带外渠道（控制台 VNC、电话）确认主机密钥是否变更，再决定清除。
Linux / macOS：一条命令删除旧记录
ssh-keygen -R 192.168.1.100
# 或按主机名
ssh-keygen -R server.example.com
命令会从 known_hosts 删除该主机的所有记录并自动备份原文件（known_hosts.old）。下次连接时会重新提示确认指纹：
The authenticity of host '...' can't be established.
ED25519 key fingerprint is SHA256:xxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?
必须先通过云控制台等带外渠道取得服务器真实公钥指纹，与提示一致后才输入 yes。仅知道服务器重装过，不足以证明当前连接对端可信。
Windows：手动编辑 known_hosts
- 打开资源管理器，进入
%USERPROFILE%\.ssh - 用文本编辑器打开
known_hosts - 报错信息里会给出具体行号，例如
Offending ECDSA key in C:\Users\you\.ssh/known_hosts:17——删除第 17 行即可 - 保存后重新连接
如果用的是 PuTTY 等图形客户端，主机密钥存在注册表而非 known_hosts，需在客户端提示更新密钥时确认。
反复出现的特殊情况
- DHCP 环境 IP 复用：办公室内网 IP 常换绑不同设备，应使用稳定名称、受管 known_hosts 或主机证书。
accept-new只自动接受首次出现的主机，仍拒绝已知主机密钥变化，不能用来解决本警告 - 批量运维场景：Ansible 等工具首次连接大量新机器，可通过
ansible_ssh_extra_args='-o StrictHostKeyChecking=accept-new'自动接受新指纹，但不要用于生产敏感机器
常见问题（FAQ）
Q：什么都没动过，突然出现这个警告，怎么办？
A：按最保守处理：停止连接，通过其他渠道（云控制台 VNC、IPMI）登录服务器核对主机密钥指纹（ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub），与报错中显示的指纹对比。不一致说明可能遭遇劫持或 ARP 欺骗。
Q：ssh-keygen -R 提示 not found？
A：-R 支持哈希条目。检查是否用了别的 UserKnownHostsFile，或非默认端口需要 ssh-keygen -R '[server.example.com]:2222'；以错误所指文件与地址为准，不批量清空所有信任记录。
Q：能不能永久关掉这个检查？
A：技术上 StrictHostKeyChecking no 可以，但这等于拆掉了 SSH 防中间人攻击的防线，强烈不建议。正确习惯是：变更要核实、指纹要确认、记录再更新。
参考资料
本文依据官方资料核对，未进行现场运行测试；代码与配置示例需结合实际版本、权限和环境验证。
