连上你的打包机

在本地执行。单独的文件名便于撤销授权，不会覆盖已有默认密钥。交互提示中设置口令；自动化环境应由受控的密钥管理方式提供访问权限，而不是把私钥写进仓库。

ssh-keygen -t ed25519 -f ~/.ssh/xcr_build -C "xcr-build"
ssh-add ~/.ssh/xcr_build
ls -l ~/.ssh/xcr_build.pub

带 .pub 后缀的是公钥，可以安装到节点。没有后缀的是私钥，只留在本地或受控的 CI 密钥存储中。

本地已安装 ssh-copy-id 时，用交付的用户名与端口安装公钥。首次连接会显示主机指纹，先与交付信息核对；没有可信指纹时，通过控制台工单确认，不要直接跳过验证。

ssh-copy-id -i ~/.ssh/xcr_build.pub -p 22 macbuild@192.0.2.10
ssh -i ~/.ssh/xcr_build -p 22 macbuild@192.0.2.10

macOS 本地环境未必自带 ssh-copy-id。如果交付允许密码登录，可以改用下面的标准 SSH 命令；如果只允许密钥认证，应通过交付流程授权公钥，不要反复尝试密码。

cat ~/.ssh/xcr_build.pub | ssh -p 22 macbuild@192.0.2.10 \
'umask 077; mkdir -p ~/.ssh; cat >> ~/.ssh/authorized_keys'

重装节点后若出现主机密钥变化提示，先确认重装记录与新指纹，再更新本地记录。不要用关闭主机校验的参数掩盖异常。

把下面配置加入本地 ~/.ssh/config。别名不依赖节点地址的记忆；地址变更时，只改这一处，脚本仍使用 xcr-build。

Host xcr-build
    HostName 192.0.2.10
    User macbuild
    Port 22
    IdentityFile ~/.ssh/xcr_build
    IdentitiesOnly yes
    ServerAliveInterval 30
    ServerAliveCountMax 3

执行一次只读验收，核对实际系统版本、选中的 Xcode 与磁盘空间。先确认环境，再安装依赖或注册 runner，避免把错误版本带进流水线。

ssh xcr-build
sw_vers
xcode-select -p
xcodebuild -version
df -h "$HOME"