限制SFTP用户权限后Paramiko传输失败，如何兼顾安全与功能？

当然可以兼顾！你遇到的IOError: [Errno 2] No such file错误，核心原因是受限SFTP用户的Chroot Jail配置导致目标目录对用户不可见。当你按照教程创建仅SFTP的用户时，通常会配置Chroot环境，把用户限制在指定的根目录下，此时服务器上真实的/var/www/html/reports路径在用户的Chroot视角中是不存在的——这就是无权限限制时能正常运行，加了限制就报错的原因。

下面是具体的解决步骤，帮你同时实现用户登录限制和Paramiko传输：

1. 检查并修复Chroot目录权限 #

首先确保你的SFTP受限用户的Chroot目录（比如/home/sftpuser）满足权限要求：

• 目录所有者必须是root
• 权限设置为755（不能让用户拥有目录的写权限，否则Chroot会失败）

执行命令验证并调整：

sudo chown root:root /home/sftpuser
sudo chmod 755 /home/sftpuser

2. 将目标目录挂载到Chroot环境中 #

为了让受限用户能访问/var/www/html/reports，我们需要用bind mount把真实目录挂载到用户的Chroot目录下：

1. 在Chroot目录内创建挂载点：

   sudo mkdir /home/sftpuser/reports
   

2. 执行挂载命令：

   sudo mount --bind /var/www/html/reports /home/sftpuser/reports
   

3. 让挂载重启后依然生效，编辑/etc/fstab文件，添加以下内容：

   /var/www/html/reports /home/sftpuser/reports none bind 0 0
   

3. 调整目标目录的写入权限 #

确保受限用户（比如sftpuser）对挂载后的目录有写入权限：

sudo chown sftpuser:sftpuser /var/www/html/reports
sudo chmod 755 /var/www/html/reports

4. 修改Paramiko代码路径 #

因为用户处于Chroot环境中，其根目录已经被切换到/home/sftpuser，所以代码中的目标路径需要改为相对Chroot的路径，而不是服务器的绝对路径：

原代码中的路径：

sftp.put(base_dir + '\report', '/var/www/html/reports/' + host_name, confirm=False)
# 或者 chdir('/var/www/html/reports')

修改为：

# 直接使用Chroot内的相对路径
sftp.put(base_dir + '\\report', '/reports/' + host_name, confirm=False)

# 如果用chdir的话：
sftp.chdir('/reports')
sftp.put(base_dir + '\\report', host_name, confirm=False)

5. 验证SFTP配置 #

最后确认/etc/ssh/sshd_config中的SFTP限制配置正确，类似这样：

Match User sftpuser
    ForceCommand internal-sftp
    ChrootDirectory /home/sftpuser
    PermitTunnel no
    AllowAgentForwarding no
    AllowTcpForwarding no
    X11Forwarding no

修改后记得重启sshd服务：

sudo systemctl restart sshd

完成这些步骤后，你的受限SFTP用户既无法登录Shell，又能通过Paramiko正常上传文件到目标目录了。

内容的提问来源于stack exchange，提问作者Stringers