Git怎么配置SSH Key免密登录 Git远程仓库连接权限设置详解

每次执行 git push 或 pull 时，如果系统还弹窗让你输入密码，那说明你的 Git 远程仓库连接方式可能还没切换到正轨。这通常不是配置没生效，而是压根儿就没用上 SSH 协议。想实现真正的免密操作，必须同时满足几个条件：手头得有可用的密钥对、SSH 袋里（agent）得在后台跑起来、远程仓库地址必须是 git@host:owner/repo.git 这种格式，并且服务端（比如 GitHub）那边也得把你的公钥给录对了。

具体怎么操作？其实就一句话：先把远程仓库地址从 HTTPS 切换到 SSH，然后配置好密钥认证。流程可以概括为：先用 git remote -v 确认当前地址还是 HTTPS 开头，接着生成一把 ed25519 类型的密钥，启动 ssh-agent 并把私钥添加进去，最后把公钥粘贴到 GitHub 等平台的设置里，并执行 git remote set-url origin git@github.com:user/repo.git 来更新地址。

怎么确认当前用的是 HTTPS 还是 SSH？

这事儿很简单，打开你的项目目录，在终端里运行下面这行命令：

git remote -v

重点看输出里 origin 那一行。如果它是以 https:// 开头的，比如下面这样，那就说明你还在用 HTTPS 协议连接，自然每次都要密码。

origin https://github.com/user/repo.git (fetch)
origin https://github.com/user/repo.git (push)

生成密钥时为什么推荐 ed25519 而不是 rsa？

选择 ed25519，倒不是为了追新，而是它在安全性和性能上确实有实实在在的优势：

• ed25519 的密钥更短（只有 256 位），签名速度更快，并且对侧信道攻击的抵抗力更强。更重要的是，像 GitHub、GitLab、Gitee 这些主流平台，早就原生支持它好多年了。
• 相比之下，传统的 rsa 密钥，默认的 2048 位强度已经被 NIST 等机构建议逐步淘汰。GitHub 更是从 2021 年起就不再接受新的 rsa 密钥了。如果因为某些老旧系统限制必须使用 rsa，那也至少得用 -b 4096 参数生成 4096 位的密钥。
• 当然，如果你在 Windows 的 Git Bash 或者某些老版本的 OpenSSH 里执行命令时，遇到了 unknown key type ed25519 这样的报错，那说明环境不支持。这时候再退一步，使用下面的命令生成 rsa 密钥也不迟：

  ssh-keygen -t rsa -b 4096 -C "you@example.com"

ssh -T git@github.com 报 Permission denied (publickey) 怎么排错？

遇到这个错误提示，十有八九不是你的密钥生成错了，而是 SSH 客户端根本就没尝试使用你刚生成的那把密钥。排查的关键，在于看详细日志。

• 首先，运行带详细输出（-v）的测试命令：

  ssh -T -v git@github.com

  在刷屏的日志里，仔细找一找 Offering public key: 这一行。看看它后面列出的私钥文件路径，是不是你期望的那一个（比如 /home/xxx/.ssh/id_ed25519）。
• 如果压根没看到你的密钥路径被列出来，那基本可以断定是 SSH 袋里（agent）没加载你的密钥。这时候，你需要执行下面两行命令：

  eval "$(ssh-agent -s)"
  ssh-add ~/.ssh/id_ed25519

• 如果执行 ssh-add 时提示 Could not open a connection to your authentication agent，这说明 agent 进程根本没启动，你必须先执行上面第一行命令来启动它。
• 另外，还有一个高频踩坑点：把公钥粘贴到 GitHub 设置页面时，必须整行完整复制。从 ssh-ed25519（或 ssh-rsa）开头，一直到你的邮箱注释结束，中间不能换行，不能漏字符，前后也不能有多余的空格。

改完远程地址后 git push 还失败？

地址也改了，密钥也配了，如果推送还是失败，那通常不是权限问题，更可能是 URL 写错了，或者远程仓库的名字（remote）不对。

• 确认地址格式：确保你复制的是 GitHub/GitLab/Gitee 项目页面上，明确标着“SSH”标签下的那一串地址，而不是旁边 HTTPS 的那一行，也不是“Clone with SSH”按钮旁边可能有的灰色小字。
• 标准格式牢记：SSH 地址的标准格式是 git@github.com:user/repo.git。特别注意中间是 @ 符号和冒号 :，而不是斜杠 /。
• 注意远程仓库名：如果你之前给同一个项目添加过多个远程仓库（比如用 git remote add upstream ... 添加过上游仓库），那么默认的远程名可能就不是 origin 了。这时候，你需要把命令里的 origin 替换成对应的名字，例如：

  git remote set-url upstream git@github.com:user/repo.git

• 修改完成后，务必再次运行 git remote -v 检查一下，确认地址已经更新成功。

最后，提一个 Windows 用户特别容易忽略的细节：当你使用 Git Bash 时，通过 ssh-add 添加的密钥，默认只对当前这个终端窗口会话有效。一旦你关掉了这个 Bash 窗口，下次再打开新的，之前加载的密钥就失效了，又得重新执行一遍 eval 和 ssh-add。

如果想实现开机或打开终端自动加载，通常需要去配置 ~/.bashrc 这类 shell 配置文件，或者设置 Windows 自带的 OpenSSH Authentication Agent 服务。不过，这些自动化配置本身可能会引入新的问题。所以，一个稳妥的建议是：先确保手动执行整套流程能稳定工作，之后再考虑要不要做自动化。