SFTP如何进行文件共享

说白了，在服务器之间或者从本地向服务器传输文件，SFTP（SSH File Transfer Protocol）是个相当靠谱的选择。它不像FTP那么“裸奔”，数据传输全程加密，安全系数拉满。更妙的是，大部分Linux服务器自带OpenSSH，所以SFTP几乎开箱即用。

不过，真正要把SFTP用成文件共享的利器，让团队成员各取所需且不越界，还是需要做一些精心配置的。下面我们就来一步步把这事儿搞定。

第一步：安装SFTP服务器

既然SFTP是SSH的“亲儿子”，那通常也就没必要单独安装了。绝大多数Linux发行版，OpenSSH都是默认安装的。简单几步确认或装上就行：

• Debian/Ubuntu系的朋友，敲下 sudo apt update && sudo apt install openssh-server 就齐活了。
• CentOS/RHEL/Fedora系，则用 sudo yum install openssh-server 或者 sudo dnf install openssh-server。

装好之后，别忘了启动SSH服务并设置开机自启：sudo systemctl start sshd && sudo systemctl enable sshd。一句话的事儿。

第二步：配置SFTP的“游戏规则”

安装只是热身，真正的重头戏在配置上。我们需要编辑SSH的主配置文件 /etc/ssh/sshd_config，让SFTP按我们设定的规则来运行。

关键在于调整几个参数：

• 启用SFTP子系统：确保文件中有一行 Subsystem sftp internal-sftp，这通常是默认存在的，但最好检查下。它能确保SFTP功能正常。
• 限制用户权限（核心步骤）：我们想给某个用户或用户组创建一个“牢笼目录”（ChrootDirectory），让他们只能在自己的小天地里活动，无法窥探系统其他角落。具体做法是，在文件末尾添加如下配置：

Match Group sftpusers
    ChrootDirectory %h
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no

这段配置的意思是：凡是属于sftpusers组的人，登录后只能看到自己的家目录（%h），并且强制使用SFTP，无法获得Shell访问权限，端口转发和X11转发也被禁用了。这招非常有效地限制了潜在风险。

• 禁用root直接登录（推荐）：加上一行 PermitRootLogin no，直接堵死root直接远程登录的路径，能大幅提升安全性。

以上操作完成后，重启SSH服务让配置生效：sudo systemctl restart sshd。

第三步：创建专属用户与目录结构

配置规则定好了，接下来就是人（用户）和场地（目录）了。我们要为文件共享创建一个专门的“工位”。

• 创建用户组和用户：执行下面的命令，创建名为sftpusers的用户组，再创建一个名为sftpuser的用户并归入该组，同时禁止其Shell登录。

sudo groupadd sftpusers
sudo useradd -G sftpusers -d /home/sftpuser -s /sbin/nologin sftpuser
sudo passwd sftpuser

• 设置正确的目录权限（这是最容易出错的地方！）：由于我们配置了ChrootDirectory，所以用户的家目录/home/sftpuser必须属于root，且权限为755。否则用户连登录都会失败。

sudo chown root:root /home/sftpuser
sudo chmod 755 /home/sftpuser

• 创建可读写的子目录：用户不能在家目录下直接写文件（因为属于root），所以需要创建一个子目录，比如upload，并将其所属权交给用户。

sudo mkdir /home/sftpuser/upload
sudo chown sftpuser:sftpusers /home/sftpuser/upload
sudo chmod 755 /home/sftpuser/upload

这样一来，用户虽然被关在了/home/sftpuser这个“牢笼”里，但可以在/home/sftpuser/upload这个“工作台”上自由发挥。

第四步：开始连接

万事俱备，只欠连接。选择合适的工具就能开干。

• 命令行硬核派：直接在终端输入 sftp username@server_ip，然后输入密码，你就进入了SFTP的交互模式，提示符变为sftp>。这是最直接高效的方式。
• 图形界面实用派：对新手或者需要频繁拖拽文件的人来说，图形工具简直是福音。FileZilla 和 WinSCP 是两大神器。打开软件，填入服务器IP、端口（默认22）、用户名和密码，点击连接，就能像操作本地文件夹一样上传下载文件了。

第五步：实战文件传输

连接成功了，怎么用才是重点。

• 上传：
  • 命令行：put local_file [remote_path]。比如 put ~/test.txt /upload/，就把本地的test.txt上传到了服务器的/upload/目录。
  • 图形化：直接拖拽本地文件到远程服务器的upload目录里即可。
• 下载：
  • 命令行：get remote_file [local_path]。比如 get /upload/test.txt ~/Downloads/，就把服务器上的test.txt下载到本地的Downloads目录。
  • 图形化：操作反过来，拖拽远程文件到本地目录。
• 其他常用操作：用ls列目录，mkdir建文件夹，rm删文件。图形化工具里，这些操作基本都靠鼠标右键菜单就能完成。

第六步：安全加固，防止翻车

任何对外暴露的服务，安全都是重中之重。除了前面提到的限制用户权限，还有几件事需要特别留神：

• 强密码是底线：给用户设置一个包含大小写字母、数字和符号的复杂密码，这是最基本的安全防护。
• 公钥认证，一步到位：这是替代密码登录的最佳实践。先在自己的电脑上用ssh-keygen生成密钥对，然后把公钥（id_rsa.pub的内容）添加到服务器对应用户家目录下的.ssh/authorized_keys文件中。最后在sshd_config里设置PasswordAuthentication no，彻底关闭密码登录。这样既安全又便捷。
• 防火墙把关：配置好防火墙，只放行SSH服务的端口（通常是22）。比如Ubuntu可以用sudo ufw allow 22 && sudo ufw enable，CentOS则用sudo firewall-cmd --permanent --add-service=ssh && sudo firewall-cmd --reload。把其他无关端口都关在门外。
• 勤打补丁：保持系统和OpenSSH的定期更新。安全漏洞被发现后，厂商通常会很快发布补丁。别忘了用sudo apt update && sudo apt upgrade（或sudo yum update）来为自己的服务器“打疫苗”。

通过以上这六个步骤，一个安全、可控的SFTP文件共享环境就搭建起来了。它既保留了SSH的加密特性，又能让不同成员在各自独立的目录里愉快地工作，管理者也能高枕无忧。