1. Windows 下 SSH 免密登录到底解决了什么问题
如果你每天要在 Windows 上连好几台服务器，密码输入这件事迟早会把你逼疯。终端里输一遍、VS Code Remote 里输一遍、TRAE 或 Cursor 的远程资源管理器里再输一遍，密码稍微复杂点还得翻密码管理器。更麻烦的是，很多团队现在要求密码定期轮换，你刚把密码记熟，运维一条通知下来又得全部重来。
SSH 免密登录（也叫公钥认证）就是冲着这个痛点来的。它的原理不复杂：本地生成一对密钥，私钥留在自己电脑上，公钥丢到服务器的authorized_keys里。连接的时候，服务器发一段随机数据，本地用私钥签名，服务器用公钥验签，验过了就放行。整个过程密码根本不参与，所以既不用输，也不怕服务器被暴力破解密码。
这套流程在 Linux 和 macOS 上早就烂大街了，但 Windows 用户经常卡在几个地方：不知道 OpenSSH 客户端有没有装、ssh-copy-id命令不存在、私钥文件权限被 Windows 的 ACL 机制搞乱、config 文件路径写错。这篇就按 Windows 10/11 的实际环境，从ssh-keygen一路写到多服务器统一管理，最后再讲怎么用 TaoToken 把 API Key 和 SSH 凭据的通道统一收口，避免凭据散落在各个工具里。
适合谁看：后端开发、运维、需要频繁连远程机器的测试同学，以及用 IDE 远程开发但每次都被密码打断心流的人。跟着做完，你应该能做到一次配置、多台服务器免密、IDE 里直接ssh 别名就连上。
先说清楚一个前提：免密登录不等于不安全。恰恰相反，禁用密码登录、只留公钥认证，是服务器安全加固的标准动作。私钥只要不泄露、权限设对，比弱密码安全得多。
2. TaoToken 前置准备：把 Key 和凭据通道先理清楚
在动手配 SSH 之前，我想先聊一个容易被忽略的问题：凭据管理。你可能会问，SSH 免密和 TaoToken 有什么关系？关系在于，当你同时用多个 AI 编码工具、多个模型 API、多台服务器的时候，凭据会散得到处都是——.ssh目录里一堆私钥、各个 IDE 的 settings 里塞着 API Key、环境变量里还有一份。时间一长，你自己都记不清哪个 Key 对应哪个服务。
TaoToken 在这里扮演的是一个统一入口的角色。它的官网是 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，API 端点是 https://taotoken.net/api 。你可以把它理解成一个统一的 Key/API 通道：模型对话、Coding Plan、控制台、API Keys 管理都在同一套体系下。这样你在配置 Claude Code、Cline、Codex 这类工具时，Base URL 和 Key 的来源是统一的，不用每个工具单独去某个平台申请一遍。
具体到这篇的场景，我建议你先把两件事做了：
第一，注册并登录 TaoToken 控制台，地址是 https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_content=console&utm_campaign=rewrite 。进去之后先熟悉一下 API Keys 页面，后面配 IDE 和 CLI 工具会反复用到。
第二，如果你打算用 Claude Code 或者类似的 Agent 工具做远程开发，提前把 Coding Plan 开通，地址 https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding-plan&utm_campaign=rewrite 。这样你在服务器上跑 Agent 任务时，模型调用走的是统一通道，不会因为某个工具的 Key 过期而中断。
为什么要先做这个？因为 SSH 免密解决的是「怎么连上服务器」，而 TaoToken 解决的是「连上之后用什么模型、用什么 Key」。两件事分开配，但凭据来源统一，后面排查问题会轻松很多。我试过把 API Key 和 SSH 私钥混在一起管理，结果有一次轮换 Key 的时候漏了一个工具，排查了半天才发现是旧 Key 还在用。
另外提醒一句：TaoToken 的接入文档在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite ，里面有针对不同工具的 Base URL 和 Model ID 说明。配 SSH 的时候用不到，但后面配 IDE 远程开发会用到，可以先收藏。
前置准备做完，我们进入正题。整个 SSH 免密流程分四步：本地生成密钥、公钥上传服务器、写 config 文件、验证连接。下面一步步来。
3. 可复制配置：ssh-keygen、config 骨架与 authorized_keys
这一节是全文的核心，所有命令和配置都可以直接复制。我按顺序写，你跟着做就行。
3.1 确认 Windows OpenSSH 客户端可用
Windows 10 1809 之后和 Windows 11 都自带 OpenSSH 客户端，但有时候是禁用状态。打开 PowerShell，先查一下：
Get-WindowsCapability -Online | Where-Object Name -like 'OpenSSH.Client*'如果State显示Installed，说明已经有了，直接跳到下一步。如果显示NotPresent，用管理员权限的 PowerShell 装一下：
Add-WindowsCapability -Online -Name OpenSSH.Client~~~~0.0.1.0装完之后验证一下版本：
ssh -V正常会输出类似OpenSSH_for_Windows_8.6p1的信息。版本不用太纠结，8.0 以上都支持 ed25519。
3.2 生成密钥对：ssh-keygen 的正确姿势
打开普通权限的 PowerShell（不需要管理员），执行：
ssh-keygen -t ed25519 -b 4096 -C "win-dev-2024"参数说明：-t ed25519指定算法，比 RSA 更短更安全；-b 4096是密钥长度（ed25519 其实固定长度，这个参数写不写都行，写上兼容习惯）；-C是备注，建议写个能识别用途的字符串，比如机器名或邮箱。
交互过程有两个提示：
第一个问保存路径，直接回车，默认存到C:\Users\你的用户名\.ssh\id_ed25519。第二个问 passphrase，如果你追求完全免密，直接回车留空；如果服务器安全要求高，可以设一个密码，后面用 ssh-agent 缓存，不用每次输。
生成完检查一下目录：
Get-ChildItem $env:USERPROFILE\.ssh你应该看到id_ed25519（私钥）和id_ed25519.pub（公钥）两个文件。私钥绝对不能外传，公钥才是要上传到服务器的。
3.3 把公钥传到服务器
Windows 没有ssh-copy-id，所以手动来。先把公钥内容复制到剪贴板：
Get-Content $env:USERPROFILE\.ssh\id_ed25519.pub | clip然后用密码登录目标服务器：
ssh 用户名@服务器IP登录后，在服务器上执行这几条命令。注意权限，SSH 对权限很敏感：
mkdir -p ~/.ssh chmod 700 ~/.ssh echo "这里粘贴你刚才复制的公钥内容" >> ~/.ssh/authorized_keys chmod 600 ~/.ssh/authorized_keys如果你有多台服务器，每台都重复这一步。粘贴的时候确保公钥是完整一行，不要有换行或多余空格，否则验签会失败。
有些服务器需要重启 sshd 才生效，但大多数情况下authorized_keys是实时读取的。如果没生效，再执行：
sudo systemctl restart sshd3.4 写 config 文件：一次配置，多台免密
这是提升效率的关键一步。在 Windows 上编辑C:\Users\你的用户名\.ssh\config，没有就新建。下面是一个可以直接复制的骨架：
Host server-a HostName 192.168.1.10 User root Port 22 IdentityFile ~/.ssh/id_ed25519 IdentitiesOnly yes Host server-b HostName 10.0.0.25 User deploy Port 2222 IdentityFile ~/.ssh/id_ed25519 IdentitiesOnly yes Host * ServerAliveInterval 60 ServerAliveCountMax 3解释几个关键项：Host是你自定义的别名，连接时直接ssh server-a就行；HostName是真实 IP 或域名；IdentityFile指定私钥路径，Windows 下~会解析到用户目录；IdentitiesOnly yes强制只用指定的私钥，避免 SSH 尝试一堆无关密钥导致认证失败；最后的Host *是全局配置，保持连接活跃，防止长时间不操作被断开。
如果你后面要用 TaoToken 的 Claude Code 做远程开发，config 里的别名可以直接被 IDE 读取，不用再手输 IP。
3.5 验证免密是否生效
回到本地 PowerShell，执行：
ssh server-a如果直接进去了，没有提示输密码，说明配置成功。更严格的验证方式是：
ssh -T server-a-T表示不分配终端，适合做认证测试。如果返回类似Welcome to ...或者直接执行远程命令的结果，就说明公钥认证通过了。
你也可以用一条命令测试多台：
ssh server-a "hostname"; ssh server-b "hostname"两台都返回主机名且没要密码，就说明一套密钥管多台服务器已经跑通。
4. 验证请求与成功结果：从命令行到 IDE 的完整链路
配置写完不算完，得实际验证。这一节我按「命令行验证 → 多服务器验证 → IDE 集成验证」三层来写，每层都有明确的成功标志。
4.1 命令行验证：ssh -T 与详细日志
最基础的验证是ssh -T server-a。但如果你想看清楚认证过程，加-v参数：
ssh -v server-a输出会很长，重点看这几行：Offering public key: ... id_ed25519表示本地提供了公钥；Server accepts key表示服务器接受了；Authentication succeeded表示认证通过。如果卡在Offering public key之后没有Server accepts，基本就是服务器端authorized_keys或权限有问题。
成功的结果长这样（截取关键部分）：
debug1: Offering public key: C:\\Users\\you\\.ssh\\id_ed25519 ED25519 SHA256:xxxx debug1: Server accepts key: pkalg ssh-ed25519 blen 51 debug1: Authentication succeeded (publickey).看到Authentication succeeded (publickey)就可以放心了。
4.2 多服务器批量验证
假设你配了 server-a、server-b、server-c 三台，写个简单的 PowerShell 循环：
$servers = @("server-a", "server-b", "server-c") foreach ($s in $servers) { Write-Host "Testing $s ..." ssh -T -o BatchMode=yes $s "echo OK" 2>&1 }BatchMode=yes的作用是禁止交互式输入密码，如果某台没配好，会直接报错而不是卡在那里等你输密码。每台都输出OK，说明全部免密成功。
4.3 IDE 集成验证：以远程开发为例
命令行通了之后，IDE 集成通常很顺。以 VS Code Remote-SSH 为例，安装 Remote-SSH 插件后，Ctrl+Shift+P输入Remote-SSH: Connect to Host，你会看到 config 里定义的server-a、server-b直接出现在列表里。选一个，如果没弹密码框直接连上，就说明 IDE 也读到了同一份 config 和私钥。
如果你用的是 TRAE 或 Cursor 的远程资源管理器，逻辑一样：它们默认读~/.ssh/config。所以 config 写对了，所有 IDE 都受益。
这里插一句 TaoToken 的用法。当你在远程服务器上跑 Claude Code 或类似的 Agent 工具时，模型调用的 Base URL 和 Key 建议统一走 TaoToken。Claude Code 的接入方式在文档里有说明，地址是 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite 。这样你在本地 IDE 和远程服务器上用的是同一套凭据来源，不会出现「本地能跑、远程报 401」的情况。
4.4 成功结果清单
做完上面几步，你应该达到这些状态：
| 验证项 | 命令 | 成功标志 |
|---|---|---|
| 单机免密 | ssh -T server-a | 无密码提示，返回命令结果 |
| 多机免密 | 循环ssh -T | 每台都返回 OK |
| 详细认证 | ssh -v server-a | 出现 Authentication succeeded |
| IDE 集成 | Remote-SSH 连接 | 不弹密码框直接进入 |
| 远程 Agent | 服务器上跑 Claude Code | 模型调用正常，无 401 |
全部打勾，这套免密体系就算立住了。
5. 本篇常见错排查：401、local proxy failed、reading choices 与 OAuth
配置过程中最容易出问题的不是命令本身，而是权限、路径和凭据。这一节我把真实遇到过的报错和排查路径列出来，对照着看。
5.1 仍然提示输入密码
这是最高频的问题。排查顺序：
第一，检查服务器端authorized_keys里是不是真的有你的公钥。在服务器上执行cat ~/.ssh/authorized_keys，对比本地Get-Content $env:USERPROFILE\.ssh\id_ed25519.pub的内容，必须完全一致。
第二，检查权限。服务器上~/.ssh必须是 700，authorized_keys必须是 600。权限不对 SSH 会直接忽略这个文件。执行：
ls -ld ~/.ssh ls -l ~/.ssh/authorized_keys第三，检查本地 config 里的IdentityFile路径。Windows 下如果写成C:\Users\you\.ssh\id_ed25519有时会有转义问题，建议统一用~/.ssh/id_ed25519。
第四，服务器sshd_config里PubkeyAuthentication必须是yes，AuthorizedKeysFile指向正确。改完记得重启 sshd。
5.2 Windows 私钥权限报错
Windows 的 ACL 机制和 Linux 不一样，SSH 有时会报Permissions for 'id_ed25519' are too open。修复命令：
icacls $env:USERPROFILE\.ssh\id_ed25519 /inheritance:r icacls $env:USERPROFILE\.ssh\id_ed25519 /grant:r "$env:USERNAME:(R,W)"这两条的作用是去掉继承权限，只给当前用户读写。执行完再连一次。
5.3 401 与 local proxy failed
这两个报错通常出现在你连上服务器后跑 AI 工具的时候，不是 SSH 本身的问题。401一般是 API Key 无效或过期，local proxy failed多半是 Base URL 配错或者本地代理端口没起来。
排查思路：先确认 TaoToken 控制台里的 Key 是有效的，地址 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api-keys&utm_campaign=rewrite 。然后检查工具的配置文件里 Base URL 是不是https://taotoken.net/api，Model ID 是不是文档里写的那个。如果你在服务器上跑 Claude Code，确认环境变量或配置文件里的 Key 和本地一致。
5.4 reading choices 报错
这个报错通常出现在调用模型接口时，返回体格式不符合预期。常见原因是 Base URL 少了/v1或者多了斜杠，或者 Model ID 写错。对照文档里的示例改一遍，地址 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite 。
5.5 OAuth 相关报错
如果你用 Claude Code 的 OAuth 登录方式，可能会遇到 token 过期或回调失败。这种情况建议改用 API Key 方式接入，走 TaoToken 的统一通道，避免 OAuth 的会话管理问题。Claude Code 的接入配置在文档里有完整说明。
5.6 三件套检查法
不管是 SSH 还是 API 接入，出问题先查三件套：
- Base URL：是不是
https://taotoken.net/api - Key：是不是从控制台复制的最新 Key
- Model ID：是不是文档里对应的模型标识
这三样对了，大部分报错都能解决。SSH 这边则是：私钥路径、公钥内容、文件权限。
6. 语义一致 CTA：把凭据通道收口到 TaoToken
SSH 免密配好之后，你连服务器已经不用输密码了。但还有一个隐形成本：API Key 和模型凭据的管理。如果你同时用 Claude Code、Cline、Codex 这些工具，每个工具单独配 Key，轮换的时候就是一场灾难。
我的做法是把模型调用的凭据统一走 TaoToken。具体来说：
模型对话和日常测试，用 https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_content=models&utm_campaign=rewrite ，这里可以直接验证 Key 和模型是否可用。
长期编码和 Agent 任务，用 Coding Plan，地址 https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding-plan&utm_campaign=rewrite ，适合需要稳定调用、按周期计费的场景。
Key 的管理和轮换，在控制台的 API Keys 页面，地址 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api-keys&utm_campaign=rewrite 。建议给不同工具分配不同的 Key，方便单独吊销。
接入细节和不同工具的配置示例，看文档 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite 。
Claude Code 的接入配置，参考 https://taotoken.net/claude-code?utm_source=taotoken_aicg_blog_end&utm_content=claude-code&utm_campaign=rewrite ，里面有 Base URL、Key、Model ID 三件套的完整写法。
这样做的实际好处是：SSH 免密让你连服务器不用输密码，TaoToken 让你调模型不用到处找 Key。两件事都收口之后，你的开发环境才算真正干净。最后留一个实用技巧：把~/.ssh/config和 TaoToken 的 Key 都纳入你的 dotfiles 管理，换电脑的时候几分钟就能恢复整套环境。
