摘要

  • SSH_MSG_CHANNEL_WINDOW_ADJUST 只为某条 SSH 通道增加可发送的字节额度，不证明远端命令已经消费这些字节，更不证明它已经完成。
  • exec 请求回复、可选的退出状态、EOF 与双向关闭分别描述不同阶段；其中任何一个都不能默认为应用的持久结果。
  • 对有副作用的远程操作，应让操作标识和结果查询能力跨越 SSH 会话存活，避免连接中断后只能盲目重试。

一个绿色状态里藏着四个问题

远程执行平台通常只想回答“成功了吗”。RFC 4254 却提供了若干更小、也更准确的答案：通道是否建立，服务器是否接受 exec 请求，对端是否允许再发一些数据，远端进程是否给出退出状态，双方是否已经结束这条通道。

这些答案的价值正在于它们互不替代。启动请求获准之后，程序仍可能失败；输入继续流动时，程序可能尚未处理；程序退出前可能把工作交给后台队列；连接消失时，客户端可能恰好错过最终结果。把这些阶段压成一个布尔值，等于让分层协议无意中承担业务事务的职责。

更稳妥的状态模型至少保留四层：请求受理、通道流控额度、进程终止、应用持久结果。前三层可以由 SSH 提供观察，第四层必须由被操作的程序或服务定义。

通道窗口真正授予了什么

RFC 4254 第 5.2 节用字节定义窗口。窗口决定对端在必须等待调整之前还可以发送多少通道数据。SSH_MSG_CHANNEL_WINDOW_ADJUST 只携带接收方通道号和新增字节数；收到后，发送方可以在原有额度上继续增加相应数量。普通数据与标准错误等扩展数据共用这份窗口。

这是一份流控契约。它的词汇是许可、数量和通道，不含命令标识、应用状态、持久化标志或结果摘要。标准也没有规定实现必须在某个特定内部缓冲事件之后才能补充额度；窗口管理可以服从各自的内存和调度设计。

所以，窗口增加足以说明对端协议栈愿意接纳更多通道流量，却不足以说明某个字节已经越过 SSH 库、操作系统、被调用进程以及该进程访问的下游系统。窗口防止发送方超过约定容量；它不是确认应用动作的账本。

受理启动，不等于完成命令

RFC 4254 另设了通道请求机制。请求可以把 want reply 置为真，对端随后返回通道成功、通道失败或该请求专有的后续消息。对于 exec，请求的语义是请服务器开始执行给定命令；标准建议请求并检查回复。

这份回复当然重要。它能区分服务器接受启动请求与服务器拒绝或不支持请求。但此时命令只是进入生命周期。通道成功消息里既没有进程最终退出码，也没有应用可能创建的持久对象。

一些库把这些阶段包装成“ready”“sent”或“success”之类的回调，调用者看不到协议层级，名称却听起来像终局判断。运营记录应写明事件究竟证明什么，并保留它与会话、通道和命令之间的对应关系。

退出状态更强，但仍有边界

RFC 4254 为远端命令终止后的时点定义了 exit-status。返回它只是“建议”，不是强制；这条消息本身没有确认回复，客户端也可以忽略。规范还谨慎地说，零“通常”表示成功终止。

退出状态因此比窗口变化更接近结果。它来自命令生命周期，而非字节预算。对于同步程序，如果它明确承诺“完成请求后才以零退出”，退出状态完全可以是合适的终局信号。

但应用契约不能省略。包装脚本可能在任务入队后立刻返回零；服务管理器可以接受重启请求，而健康状态还没有恢复；部署命令可以更新控制面，副本仍在收敛。SSH 忠实传递进程结果，却不会替被调用程序创造业务含义。

关闭结束通道状态，不会消除未知结果

EOF 与关闭同样被严格限定。EOF 只说一方不再发送数据，没有显式回复，也不会关闭反向数据流。任何一方都可以在没有先收发 EOF 的情况下发送关闭；只有一方既发出又收到关闭后，它才认为通道结束。标准对先前数据的表述也只是：如果可能，应把它们交付给实际目的地。

这是一套有秩序的资源回收机制，不是“此前每个字节都造成了应用效果”的保证。反过来，客户端没看到最后一条消息，也不能证明效果没有发生。网络如果在最不巧的瞬间断开，远端可能已经提交变更，客户端却没有收到证据。

最危险的处理，是把这种未知结果直接标成失败，再在不知道操作能否重复的情况下重新执行。

安全保证不会自动变成结果保证

RFC 4254 周围的架构进一步说明了这道边界。RFC 4251 把 SSH 分成传输、用户认证和连接协议。RFC 4253 为传输提供加密、服务器认证和完整性；RFC 4252 在其上认证客户端用户；连接协议再把逻辑通道复用到这些基础之上。

这些属性回答的是关键但不同的问题：远端主机是谁，哪位用户通过认证，传输中的数据是否受到保护。它们不回答软件包安装是否达到目标状态、数据库迁移是否提交，也不回答远端命令委托的 API 是否最终接单。强认证让证据可归属，却不会扩大证据的语义。

让操作比会话活得更久

对于不可逆或代价高的动作，应用操作应拥有跨越 SSH 连接的身份。远端可以记录认证主体、目标、命令或请求指纹、受理时间、当前状态、最终结果及持久对象 ID；调用者断线重连后，仍能按这个 ID 查询。

这不需要修改 SSH。命令行契约本身就可以接收幂等键、返回操作 ID，并允许持续查询。单纯读取或天然幂等的命令，检查退出码也许已经足够；当重复执行可能造成两次付款、两次轮换凭据、两次创建资源或再次中断整支机群时，才需要更强的结果契约。

原则并不复杂：窗口调整是字节额度，请求成功是启动受理，退出状态是进程证据，通道关闭是连接层终局。业务完成只能由业务操作自己证明。

来源