如何使用Python编写自动化巡检脚本_基于Paramiko库的SSH远程执行
Paramiko连接失败主因是网络不通或SSH服务未就绪，需先用ssh -o ConnectTimeout=5 user@host验证；若超时则非代码问题，而是防火墙、IP错误、sshd未启或端口非22未显式指定。
Paramiko连接失败：常见认证与网络问题
多数人卡在第一步——连不上目标主机。不是密码错，而是根本没走到认证环节。
先确认基础网络通路：ssh -o ConnectTimeout=5 user@host 能否手动连通。如果超时，Paramiko 一样会抛 socket.timeout 或 SSHException: Error reading SSH protocol banner，不是代码问题，是防火墙、IP写错、sshd没启或端口被改（比如非22端口没显式指定）。
- 必须显式传
port=22（哪怕默认），避免某些环境因 DNS 解析或代理导致端口误判 - 禁用主机密钥验证时，用
set_missing_host_key_policy(paramiko.AutoAddPolicy())，但仅限测试；生产环境应预存known_hosts并用RejectPolicy() - 密码登录失败？检查是否启用了 PAM 或账户被锁；更稳妥的是用密钥：加载
paramiko.RSAKey.from_private_key_file("/path/to/id_rsa")，注意权限（0600），否则 Paramiko 直接拒绝读取
执行命令后拿不到完整输出：stdout/stderr 读取时机不对
Paramiko 的 exec_command() 返回三个通道对象，但 stdout.read() 不是“等命令跑完自动返回”，而是依赖缓冲区状态。常见现象：脚本明明执行了，stdout.read() 却返回空字节或截断内容。
- 必须调用
stdout.channel.recv_exit_status()等待进程真正退出，再读取 —— 否则可能只读到部分输出 - 不要直接
read()，改用readlines()或循环recv(1024)，避免阻塞；尤其对交互式命令（如top -n1）要加stdin.write("\n")模拟回车 -
stderr必须单独读取，且和stdout无顺序保证；别假设“先 stdout 后 stderr”，它们是并行流 - 示例关键片段：
stdin, stdout, stderr = client.exec_command("df -h")
exit_status = stdout.channel.recv_exit_status() # 必须等这里
output = stdout.read().decode()
error = stderr.read().decode()
批量巡检时连接复用与超时控制
逐台新建 SSHClient 对象跑命令，10 台机器就开 10 个 TCP 连接，容易触发目标端的 MaxStartups 限制或本地端口耗尽。更糟的是没设超时，一台挂掉，整个脚本卡死。
Python 3.14.3
微软官方的 Python 扩展，是 VS Code 安装量最高的扩展（209M+）。集成 IntelliSense（通过 Pylance）、调试（通过 Python Debugger）、代码检查、格式化、重构和单元测试等功能。支持 Jupyter Notebook、虚拟环境管理和多 Python 版本切换。
- 用
transport = client.get_transport()复用底层连接，同一 client 上连续exec_command()是复用的；跨主机才需新 client - 所有阻塞操作必须设 timeout：
client.connect(..., timeout=10)、transport.set_keepalive(30)防空闲断连、stdout.channel.settimeout(30)防命令 hang 住 - 别用
time.sleep()控制频率，改用连接池或 asyncio + asyncssh（若 Python ≥3.8 且机器量大）；小规模用concurrent.futures.ThreadPoolExecutor控制并发数（如 max_workers=5） - 巡检命令本身也得加超时：用
timeout 10 df -h（Linux）或gtimeout 10 df -h（macOS Homebrew 安装 coreutils）
解析巡检结果时忽略干扰信息
远程执行的输出常含 ANSI 转义序列（颜色）、shell 提示符（[user@host ~]$）、甚至终端宽度自动换行，直接正则匹配会失败。
- 连接时加
get_pty=False（默认就是 False），禁用伪终端，避免 shell 自动美化输出 - 执行前先
export TERM=dumb或stty -icanon -echo，进一步抑制控制字符 - 用
re.sub(r"\x1b\[[0-9;]*m", "", output)清理 ANSI 颜色码；用output.strip().split("\n")切行比readlines()更可控 - 关键字段提取优先用固定列宽切片（如
df输出第5列是使用率），而非模糊匹配；对不规范输出，加 fallback：先试df --output=pcent（新版），失败再退到传统格式解析
实际部署时最容易漏掉的是 exit_status 校验和连接清理。即使命令执行成功，stdout.read() 返回非空也不代表业务逻辑通过——df 出错时可能仍输出旧缓存，必须检查 exit_status != 0 并记录 stderr。每次 client.close() 也要包在 finally 里，不然短时间高频巡检会快速占满 socket。