如何禁止debian sftp写

debian

小樊

2026-10-24 04:32:40

栏目: 智能运维

在 Debian 上“禁止 SFTP 写操作”，常见有 3 种做法，按推荐程度从高到低说明。

一、用 OpenSSH 内置的 `readonly` 模式（最推荐，Debian 9+）

OpenSSH 7.4+ 支持 SFTP 只读模式。

sudo nano /etc/ssh/sshd_config

为指定用户或组添加：

Match User sftpuser
    ForceCommand internal-sftp -R

或按组：

Match Group sftp
    ForceCommand internal-sftp -R

-R 表示 read-only SFTP（禁止上传、删除、改名）

sudo systemctl restart ssh

✅ 优点：简单、官方支持、不影响 SSH 其他功能

如果不想用 -R，可以直接限制目录权限。

chown root:root /srv/sftp
chmod 755 /srv/sftp

用户目录：

chown sftpuser:sftpuser /srv/sftp/upload
chmod 555 /srv/sftp/upload

⚠ 缺点：

适合完全隔离的 SFTP 服务器

Match User sftpuser
    ChrootDirectory /srv/sftp
    ForceCommand internal-sftp -R

并挂载只读：

mount -o remount,ro /srv/sftp

sftp sftpuser@host
put test.txt

应出现：

remote write failed

需求	方案
仅禁止 SFTP 写	`ForceCommand internal-sftp -R` ✅
同时限制目录	chroot + `-R`
极端安全	只读挂载