不少人在做SSH客户端安全性对比时，习惯先看界面和价格，再问一句“支持密钥登录吗”。真正容易出问题的，往往不是协议本身，而是默认设置和日常习惯。下面这些坑，普通读者在挑选和使用远程连接工具时很容易踩到。
一、别把“支持SSH”当成安全卖点
SSH协议本身有加密和认证机制，但不同客户端在主机密钥校验、算法开关、私钥管理上的默认做法差别很大。有的工具首次连接会明显提示指纹，有的则把“接受并保存”做成默认按钮，手快一点就把未知主机加进了信任列表。
实操建议：
- 首次连接新服务器时，先通过控制台或其他可信渠道核对主机指纹，再决定是否保存。
- 在设置里找一找能否禁用较弱的密钥交换和加密算法，至少不要主动开启兼容老旧设备的弱算法。
- 如果工具把主机密钥变更提示做得很隐蔽，换一个提示更清晰的客户端，或者养成手动检查known_hosts文件的习惯。
二、会话保存方式是最容易踩的坑
很多人做免费SSH客户端安全性对比时只看授权，却忽略会话配置怎么存。密码被明文或可逆方式保存在本地、导出会话时把密码一起带走、多人共用一台电脑还共用配置目录，这些都是常见雷区。SSH连接管理工具越“方便”，越要看清它把凭据放在哪里。
实操建议：
- 优先使用密钥登录，密码登录只作为临时手段。
- 必须保存密码时，确认工具是否调用系统凭据管理器；如果没有，宁可每次输入。
- 导出或备份会话前，先检查配置文件中是否包含密码、私钥路径和跳板机信息。
- 共用电脑上不要共用同一个配置目录，必要时为不同账号使用独立配置。
三、私钥权限和口令别省
SSH密钥登录安全设置里，私钥文件本身就是“钥匙”。在Linux或macOS上权限过宽，在Windows上放在共享目录或同步盘里，都会放大泄露风险。还有人不给私钥设口令，图的是登录快，但一旦文件被复制，攻击者也不需要再猜密码。
实操建议：
- Linux和macOS下把私钥权限收紧到仅本人可读，例如chmod 600；Windows下检查文件访问控制，去掉无关用户。
- 给私钥设置口令，并确认客户端是否会把口令长期缓存；公共电脑上关闭缓存。
- 不同环境尽量使用不同密钥，至少生产环境和测试环境分开。
- 谨慎开启代理转发，需要跳板时再开，用完及时关闭。
四、更新来源和安装包别将就
远程连接工具安全对比中，供应链问题常被忽略。来路不明的汉化版、破解版、所谓“绿色版”，可能被植入额外组件。更新日志里只写“修复问题”而不说明安全修复的工具，也要多留个心眼。
实操建议：
- 固定从官网或可信包管理器下载，保存安装包哈希，升级前核对版本号。
- 不要为了去广告或解锁功能安装第三方修改版。
- 关注更新是否涉及认证、密钥存储、日志等安全相关模块；长期不更新的客户端要重新评估。
- 团队内统一版本范围，避免有人用旧版绕过了新的安全默认值。
五、日志、剪贴板和代理转发要收着用
客户端日志方便排障，但也可能记录命令、输出甚至密码提示。剪贴板同步在本地和远程之间来回复制时很省事，却可能把密码带进不该去的地方。代理转发一旦默认开启，跳板机上的其他账号也可能借道。
实操建议：
- 把日志级别调到满足排障即可，定期清理含敏感信息的日志文件。
- 剪贴板同步默认关闭，需要时再开；复制密码后及时清空剪贴板。
- 代理转发按需开启，并在服务端限制可转发的目标。
- 定期检查客户端保存的会话列表，删掉不再使用的旧服务器和临时凭据。
六、用一张检查表代替“感觉安全”
收费不一定等于安全，免费也不等于将就。做SSH客户端安全性对比时，可以拿同一张表去逐项核对：是否强制或明显提示主机密钥校验、是否支持私钥口令、会话凭据是否加密保存、更新渠道是否透明、日志和剪贴板能否控制、弱算法能否关闭。哪一项含糊，就在那一项上多问一句。
最后记住三个动作：首次连接核指纹，会话不存明文密码，私钥加口令并限权限。工具可以换，习惯才是长期的安全边界。