Mercurial のキー認証を使ってのアクセスでコマンドを hg に限定したい場合、
SSH_ORIGINAL_COMMAND を hg で始まるか調べて実行するスクリプト
書くしかないでしょうかね。