由于ftp等用户名和口令都是明文传输，通过网络嗅探便可获得ftp用户名和口令，使得ftp协议方式非常不安全。sftp协议是ftp协议的一种替代解决方式。只要系统支持ssh登录，即可使用系统等sftp文件传输服务。
应用：
配置sftp服务器，使得以下用户可以访问对应目录：
- 用户 目录
- a /home/sftp/a
- b /home/sftp/b
可以通过用户配置、SFTP服务配置、权限配置三个步骤来实现。
用户配置
1<!-- lang: shell --> 2#建立要管理的目录： 3mkdir -p /home/sftp/a 4mkdir -p /home/sftp/b 5#创建sftp组和a、b账号，这2个账号都属于sftp组: 6groupadd sftp 7useradd -M -d /home/sftp/a -G sftp a 8useradd -M -d /home/sftp/b -G sftp b 9#设置3个账户的密码密码 10passwd a 11passwd b
SFTP服务配置
1<!-- lang: shell --> 2vim /etc/ssh/sshd_config 3#注释原来的Subsystem设置 4#Subsystem sftp /usr/lib/openssh/sftp-server 5#启用internal-sftp 6Subsystem sftp internal-sftp 7#限制sftp组内用户的根目录 8Match Group sftp 9 ChrootDirectory %h 10 X11Forwarding no #意义不知 11 AllowTcpForwarding no #限制用户登出自己等根目录 12 ForceCommand internal-sftp 13#也可分别限制a、b用户的根目录 14#Match User a 15# ChrootDirectory /home/sftp/a 16# AllowTcpForwarding no 17# X11Forwarding no 18# AllowTcpForwarding no 19# ForceCommand internal-sftp
此时，可用sftp尝试登录：
1<!-- lang: shell --> 2sftp a@xxx.xxx.xxx.xxx 3<!-- lang: shell --> 4#如果出现下面的错误信息，则可能是目录权限设置错误，继续看下一步 5<!-- lang: shell --> 6#Connection to abc.com closed by remote host. 7<!-- lang: shell --> 8#Connection closed
权限配置
要实现Chroot功能，目录权限的设置非常重要。否则无法登录，给出的错误提示也让人摸不着头脑，无从查起。我在这上面浪费了很多时间。
目录权限设置上要遵循2点：
1ChrootDirectory设置的目录权限及其所有的上级文件夹权限，属主和属组必须是root； 2ChrootDirectory设置的目录权限及其所有的上级文件夹权限，只有属主能拥有写权限，也就是说权限最大设置只能是755。
如果不能遵循以上2点，即使是该目录仅属于某个用户，也可能会影响到所有的SFTP用户。
1<!-- lang: shell --> 2chown root.root /home/sftp /home/sftp/a /home/sftp/b 3chmod 755 /home/sftp /home/sftp/a /home/sftp/b
由于上面设置了目录的权限是755，因此所有非root用户都无法在目录中写入文件。我们需要在ChrootDirectory指定的目录下建立子目录，重新设置属主和权限。
1<!-- lang: shell --> 2mkdir /home/sftp/a/send 3chown a.sftp /home/sftp/a/send 4chmod 775 /home/sftp/a/send
至此，我们已经实现了所有需要的功能。