java - JSch 中 config.put ("StrictHostKeyChecking", "no") 的用途是什么

Question

java.util.Properties config = new java.util.Properties();            
config.put("StrictHostKeyChecking", "no");
session.setConfig(config);

在上面的代码中，为什么我们需要在通过 JSch API 连接到 SFTP 时将 StrictHostKeyChecking 值设置为 no？

Answer 1

实际上你不应该设置它。这样做会失去很多 SSH/SFTP 安全性。

该选项告诉 JSch SSH/SFTP 库不要验证 SSH/SFTP 服务器的公钥。你容易受到 man-in-the-middle attacks 的攻击，如果您不验证公钥。当然，除非您在私有(private)可信网络内进行连接(因此您不关心安全/加密)。

了解 SSH/SFTP 主机 key :
https://winscp.net/eng/docs/ssh_verifying_the_host_key