如何查看Git使用的SSH密钥文件路径？

Question

在配置Git与远程仓库（如GitHub、GitLab）通过SSH通信时，开发者常遇到“如何确认Git实际使用的SSH密钥文件路径”的问题。尽管用户已在本地生成了SSH密钥对（如id_rsa和id_rsa.pub），并将其添加到ssh-agent，但Git仍可能提示权限拒绝。这通常是因为Git默认查找标准路径（~/.ssh/id_rsa），而若使用了自定义密钥名称或非默认路径，需在~/.ssh/config中显式指定IdentityFile。许多开发者不清楚如何验证当前Git操作究竟加载了哪个私钥文件，从而难以排查认证失败问题。正确查看Git所用SSH密钥路径是解决此类身份验证问题的关键步骤。

Answer 1

一、问题背景与常见现象

在使用 Git 与远程仓库（如 GitHub、GitLab）进行 SSH 通信时，开发者通常会生成一对 SSH 密钥（id_rsa 和 id_rsa.pub），并将公钥添加到远程服务中。然而，即便已将私钥加入 ssh-agent，仍频繁遇到“Permission denied (publickey)”错误。

这种现象的根本原因在于：Git 并不直接管理 SSH 密钥路径，而是依赖底层的 ssh 命令行工具。而 ssh 默认仅查找特定路径下的密钥文件，例如：

• ~/.ssh/id_rsa
• ~/.ssh/id_ecdsa
• ~/.ssh/id_ed25519
• ~/.ssh/id_dsa

当用户使用了自定义名称（如 id_rsa_github）或多个项目对应不同密钥时，若未通过 ~/.ssh/config 显式指定 IdentityFile，SSH 客户端将无法自动识别应使用的私钥。

二、排查逻辑：从 Git 到 SSH 的调用链路

Git 在执行 git clone、git push 等操作时，若使用 SSH 协议（如 [e-mail]:username/repo.git），实际是调用了系统中的 ssh 命令来建立连接。

因此，确认 Git 使用的 SSH 密钥路径，本质是确认 ssh 进程加载了哪个私钥文件。我们可以通过以下方式追踪这一过程：

1. 设置 SSH 的详细日志输出（使用 -v 参数）
2. 观察 SSH 客户端尝试读取的密钥路径
3. 验证是否成功加载目标私钥并完成认证

三、实战方法：如何查看当前 Git 操作所用的 SSH 密钥路径

以下是逐步深入的技术手段，用于精确确定正在被使用的私钥文件。

3.1 方法一：启用 SSH 调试模式

运行以下命令模拟 Git 的 SSH 连接行为：

ssh -T -v [e-mail]

输出中会包含类似如下信息：

debug1: identity file /Users/developer/.ssh/id_rsa type 1
debug1: identity file /Users/developer/.ssh/id_rsa-cert type -1
debug1: identity file /Users/developer/.ssh/id_rsa_github type 2
debug1: Offering public key: /Users/developer/.ssh/id_rsa RSA SHA256:abc123...
    

其中，“identity file” 表示 SSH 尝试加载的私钥路径；“Offering public key” 表示实际发送给服务器的公钥来源。

3.2 方法二：检查 ~/.ssh/config 配置文件

对于多账户或多平台场景，推荐配置 ~/.ssh/config 文件以明确指定密钥路径。示例如下：

Host	HostName	User	IdentityFile
github.com	github.com	git	~/.ssh/id_rsa_github
gitlab.com-work	gitlab.com	git	~/.ssh/id_rsa_work
bitbucket.org	bitbucket.org	git	~/.ssh/id_rsa_bitbucket

该配置确保每次连接特定主机时，SSH 主动加载指定的私钥文件，避免歧义。

3.3 方法三：结合 GIT_SSH_COMMAND 动态调试

Git 支持通过环境变量 GIT_SSH_COMMAND 覆盖默认的 SSH 调用方式。可用于注入调试参数：

GIT_SSH_COMMAND="ssh -i ~/.ssh/id_rsa_github -v" git clone [e-mail]:username/testrepo.git

此命令强制 Git 使用指定私钥，并开启详细日志，便于实时观察密钥加载过程。

四、高级分析：SSH Agent 与密钥加载机制

即使私钥已通过 ssh-add -l 显示在 agent 中，SSH 客户端仍可能因配置缺失而不使用它。关键点在于：

• ssh-agent 缓存的是内存中的密钥内容，但不会自动绑定到特定主机
• ssh 客户端仍需通过 IdentityFile 或默认路径触发加载动作
• 某些系统（如 macOS）会在重启后清空 agent 缓存，需配合钥匙串或启动脚本恢复

可通过以下命令验证 agent 当前持有的密钥：

ssh-add -l

若输出为空，则需重新添加：

ssh-add ~/.ssh/id_rsa_github

五、流程图：SSH 密钥选择全过程解析

下图为 SSH 客户端在建立连接时选择私钥的决策流程：

graph TD
    A[开始 SSH 连接] --> B{是否存在 ~/.ssh/config?}
    B -- 是 --> C[读取 Host 配置]
    B -- 否 --> D[使用默认主机名解析]
    C --> E[查找 IdentityFile 指令]
    E -- 存在 --> F[加载指定私钥]
    E -- 不存在 --> G[尝试默认密钥路径]
    D --> G
    G --> H[遍历 id_rsa, id_ecdsa, id_ed25519...]
    H --> I{私钥是否存在且权限正确?}
    I -- 是 --> J[尝试签名认证]
    I -- 否 --> K[跳过该密钥]
    J --> L{服务器接受公钥?}
    L -- 是 --> M[认证成功]
    L -- 否 --> N[尝试下一个密钥]
    N --> O[所有密钥失败 → Permission denied]
    

六、常见陷阱与最佳实践

以下是基于多年经验总结的典型问题与应对策略：

问题类型	表现形式	根本原因	解决方案
密钥未加载	Permission denied (publickey)	私钥未添加至 ssh-agent	ssh-add ~/.ssh/id_rsa_custom
路径错配	SSH 尝试 id_rsa 而非自定义密钥	缺少 ~/.ssh/config 配置	添加 Host + IdentityFile 条目
权限问题	Bad permissions on private key	私钥文件权限过于开放	chmod 600 ~/.ssh/id_rsa_custom
多密钥冲突	错误地使用了其他项目的密钥	多个密钥同时在 agent 中	使用 config 文件隔离 Host 绑定
DNS/Host 匹配错误	始终走默认配置	config 中 Host 名称不匹配 URL	使用别名如 github.com-work 并修改 remote URL
跨平台兼容性	Windows 上路径解析异常	斜杠方向或路径格式错误	使用正斜杠或 PowerShell 处理路径转义
代理干扰	Corporate proxy 阻断 SSH	企业网络限制 22 端口	改用 HTTPS 或配置 SSH over HTTPS ProxyCommand
缓存残留	旧密钥仍被尝试	KnownHosts 中存在旧指纹	清除 ~/.ssh/known_hosts 相关行
算法弃用	Unable to negotiate with server	使用已被禁用的 SHA-1/RSA 算法	升级为 ed25519 或配置 PubkeyAcceptedAlgorithms
自动化失效	CICD 流水线中密钥不可用	agent 未启动或密钥未注入	在 CI 脚本中显式启动 ssh-agent 并添加密钥

上述表格覆盖了从开发机到 CI/CD 环境中的典型故障模式。