直接给结论：只要 ECS 跑在公网上，就优先用 SSH 密钥对登录，并把密码登录关掉；只有临时调试、多人协作，或本地终端不方便保管私钥时，才回退到”复杂口令 + 安全组白名单”。密钥对不是玄学，它只是把”猜密码”变得在数学上不可行。
为什么密码登录越来越不省心
1. 22 端口天天被扫。对公网开放 22 端口的机器，一天收到几千上万次登录尝试是常态。admin、123456、域名加年份这类弱口令，基本撑不过几个小时。这不是有人盯上你，而是全网脚本在无差别试探。
2. 密钥对从原理上堵死了这条路。公钥放在服务器上，私钥只留在你自己电脑里；登录时服务器发一个随机挑战，客户端用私钥签名、服务器用公钥验签。私钥不出本机、也无法反推，所以根本不存在”猜到密码”这个环节。
3. 切换其实很简单。控制台进入 实例 → 密钥对，先创建并下载私钥（.pem），再给已有的 Linux 实例绑定，一般需要重启生效；Windows 实例走的是”密钥 + 密码”双重校验，多一道锁。绑完记得关掉 sshd 里的密码登录，否则钥匙换了、旧门还开着。腾讯云 CVM 的密钥对逻辑跟阿里云基本一致，同样是公钥绑实例、私钥本地保存，学会一家换平台不用重学。
4. 别忘给入口也上把锁。密钥对管”能不能登进来”，安全组管”谁能敲你的门”，把 22 端口来源收敛到自己的固定 IP，比任何花哨配置都管用。
注意：
- 私钥只在创建密钥对时能下载一次，丢了找不回，只能重新生成再绑定；别把 .pem 提交到代码仓库或网盘。
- 绑定/解绑密钥对通常会重启实例，业务高峰期别动，先在测试机跑通流程。
- 只关密码登录、却没收敛安全组 22 端口来源，等于换了把好锁但门没关。
总结：新手图省事用密码登录可以理解，但机器一旦承载真实业务，就该把密钥对加上、密码登录关掉、安全组来源收紧。这三步花不了十几分钟，却能挡掉绝大多数自动化入侵。
常见入门配置对比
| 云厂商 | 入门配置 | 参考价 |
|---|---|---|
| 阿里云 ECS | 2核2G 3M 带宽 | 约 99 元/年 |
| 腾讯云 CVM | 2核2G 4M 带宽 | 低至 99 元起 |
| 京东云 | 2核2GB 轻量 | 低至 58 元/年 |
以官方活动页实时价格为准，配置和续费价各家经常调整，下单前请以页面实际展示为准。
阿里云ECS服务器产品文档：参考-阿里云服务器ECS文档
腾讯云轻量服务器产品文档：参考-轻量应用服务器 文档中心