| 位置 | ~/.ssh/authorized_keys（含各用户） |
|---|---|
| 关注 | 陌生指纹、command= 前缀、异常注释 |
| 批量 | 遍历 /home 与 /root |
| 记录 | 每行公钥指纹与文件时间 |
全用户扫描 authorized_keys
全用户扫描 authorized_keys
for h in /root /home/*; do f="$h/.ssh/authorized_keys"; [ -f "$f" ] && { echo "== $f"; ls -l "$f"; cat "$f"; }; done
ssh-keygen -lf /root/.ssh/authorized_keys 2>/dev/nullauthorized_keys 里的一行就够长期控制：逐行确认指纹归属，未知的先注释保留（保全证据）。