SFTP 协议详解

SFTP（SSH File Transfer Protocol，SSH文件传输协议）是基于SSH协议的文件传输和文件管理系统，定义在 IETF draft-ietf-secsh-filexfer 中。它提供了安全的文件操作能力，是SCP的增强版本。

1. SFTP 协议概述

基本概念

• 作用：安全的文件上传、下载、目录操作
• 端口：22（与SSH相同）
• 传输层：基于SSH v2的二进制协议
• 安全性：继承SSH的加密、认证和完整性保护
• 会话模式：在SSH会话内建立SFTP子系统

SFTP vs FTP/SFTP vs SCP

特性	SFTP	FTP	SCP
安全性	SSH加密	无加密	SSH加密
认证	公钥/密码	明文	公钥/密码
协议	二进制	文本	简单复制
功能	完整文件系统操作	基本传输	仅复制
交互性	支持交互命令	命令/数据通道	非交互
端口	22	21/20	22
标准化	IETF草案	RFC 959	SSH扩展

2. SFTP 协议架构

SSH 协议栈

应用层: SFTP命令
    ↓
SSH传输层: 加密通道
    ↓
SSH认证层: 用户认证
    ↓
SSH连接层: TCP连接

SFTP会话建立

1. SSH连接建立
2. 用户认证（公钥/密码）
3. 请求SFTP子系统：ssh -s sftp user@host
4. SFTP初始化：版本协商
5. 文件操作会话
6. 会话关闭

协议版本

• 版本0：初始草案版本
• 版本3：最广泛支持（OpenSSH默认）
• 版本4-6：扩展功能（限制访问、POSIX属性）

3. SFTP 消息格式

基本消息结构

+--------+--------+--------+...+--------+
| uint32 | uint32 |  数据  | ... | uint32 |
| length | type   |  payload              | padding|
+--------+--------+--------+...+--------+

消息类型（版本3）

类型	值	说明
SSH_FXP_INIT	1	初始化请求
SSH_FXP_VERSION	2	版本响应
SSH_FXP_OPEN	3	打开文件
SSH_FXP_CLOSE	4	关闭文件
SSH_FXP_READ	5	读取数据
SSH_FXP_WRITE	6	写入数据
SSH_FXP_LSTAT	7	获取属性（不跟踪链接）
SSH_FXP_FSTAT	8	获取文件属性
SSH_FXP_SETSTAT	9	设置属性
SSH_FXP_FSETSTAT	10	设置文件属性
SSH_FXP_OPENDIR	11	打开目录
SSH_FXP_READDIR	12	读取目录
SSH_FXP_REMOVE	13	删除文件
SSH_FXP_MKDIR	14	创建目录
SSH_FXP_RMDIR	15	删除目录
SSH_FXP_REALPATH	16	解析路径
SSH_FXP_STAT	17	获取属性（跟踪链接）
SSH_FXP_RENAME	18	重命名
SSH_FXP_READLINK	19	读取符号链接
SSH_FXP_SYMLINK	20	创建符号链接

4. 文件属性（Attributes）

属性结构

struct Attributes {
    uint32 flags;
    uint64 size;           // 文件大小
    uint64 uid, gid;       // 用户/组ID
    uint32 permissions;    // POSIX权限
    uint64 atime, mtime;   // 访问/修改时间
    string owner;          // 所有者名
    string group;          // 组名
}

属性标志（Flags）

标志	值	说明
SSH_FILEXFER_ATTR_SIZE	0x00000001	文件大小
SSH_FILEXFER_ATTR_UIDGID	0x00000002	UID/GID
SSH_FILEXFER_ATTR_PERMISSIONS	0x00000004	权限
SSH_FILEXFER_ATTR_ACMODTIME	0x00000008	访问/修改时间
SSH_FILEXFER_ATTR_EXTENDED	0x80000000	扩展属性

POSIX权限

• 文件模式：rwxrwxrwx（9位）
• 特殊位：SetUID、SetGID、Sticky bit
• 类型位：文件、目录、符号链接等

5. 认证和安全机制

SSH认证集成

# 公钥认证
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519
ssh-copy-id user@server

# 密码认证
ssh user@server "sftp -s /usr/lib/sftp-server"

认证流程

1. SSH握手：Diffie-Hellman密钥交换
2. 主机验证：known_hosts检查
3. 用户认证：公钥/密码/键盘交互
4. SFTP子系统：subsystem "sftp" /usr/lib/openssh/sftp-server
5. 会话加密：AES、ChaCha20等

强制命令（ForceCommand）

# ~/.ssh/authorized_keys
command="/usr/lib/openssh/sftp-server -f /var/log/sftp.log -l INFO",no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-ed25519 AAA...

6. 核心文件操作

目录操作

# 创建目录
sftp> mkdir /remote/path/newdir

# 列出目录
sftp> ls -l /remote/path
# 等价SFTP命令：OPENDIR + READDIR

# 切换目录
sftp> cd /remote/path
# 等价：REALPATH获取绝对路径

文件传输

# 上传文件
sftp> put localfile /remote/path/file
# OPEN(写模式) + WRITE循环 + CLOSE

# 下载文件
sftp> get /remote/path/file localfile
# OPEN(读模式) + READ循环 + 本地写入

# 递归传输
sftp> get -r /remote/dir /local/dir

文件属性操作

# 查看属性
sftp> ls -l file
# LSTAT/STAT返回属性结构

# 修改权限
sftp> chmod 644 file
# SETSTAT设置permissions

# 修改时间戳
sftp> touch file  # 更新mtime
sftp> chmod u+w file  # 添加写权限

7. 高级功能和扩展

符号链接支持

# 创建符号链接
sftp> ln -s target linkname
# SYMLINK命令

# 读取链接
sftp> readlink linkname
# READLINK返回目标路径

扩展属性（版本4+）

// 扩展数据格式
string extended_type;
string extended_data;

• 自定义属性：ACL、xattr等
• 服务器特定：配额信息、存储策略

限制访问（chroot）

# /etc/ssh/sshd_config
Match User sftponly
    ChrootDirectory /home/%u
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no

8. 服务器实现

OpenSSH SFTP服务器

# sshd_config配置
Subsystem sftp internal-sftp

# 用户隔离
Match Group sftpgroup
    ChrootDirectory %h
    ForceCommand internal-sftp
    AllowTcpForwarding no

# 日志配置
Subsystem sftp /usr/lib/openssh/sftp-server -f INFO -l VERBOSE

ProFTPD mod_sftp

<IfModule mod_sftp.c>
    SFTPEngine on
    SFTPLog /var/log/proftpd/sftp.log
    AuthorizedKeysFile .ssh/authorized_keys
</IfModule>

SFTP服务器特性对比

服务器	原生支持	Chroot	扩展属性	性能
OpenSSH	✅	✅	有限	高
ProFTPD	✅	✅	丰富	中
Bitvise	✅	✅	全面	高
CompleteFTP	✅	✅	企业级	高

9. 客户端实现

OpenSSH sftp命令

# 基本连接
sftp user@host

# 指定端口和身份文件
sftp -P 2222 -i ~/.ssh/id_rsa user@host

# 批量传输
sftp -b batchfile user@host << EOF
put localdir/* /remote/dir/
get -r /remote/backup /local/backup
EOF

# 选项说明
sftp -o Compression=yes -o Cipher=chacha20-poly1305@openssh.com user@host

Python paramiko库

import paramiko
from stat import S_ISDIR, S_IMODE

# 创建SFTP会话
ssh = paramiko.SSHClient()
ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy())
ssh.connect('host', username='user', key_filename='~/.ssh/id_rsa')

sftp = ssh.open_sftp()

# 上传文件
sftp.put('localfile.txt', '/remote/path/file.txt')

# 下载文件
sftp.get('/remote/file.txt', 'localfile.txt')

# 递归上传目录
def upload_dir(sftp, local_dir, remote_dir):
    for item in os.listdir(local_dir):
        local_path = os.path.join(local_dir, item)
        remote_path = posixpath.join(remote_dir, item)

        if S_ISDIR(stat.S_IMODE(os.lstat(local_path).st_mode)):
            try:
                sftp.mkdir(remote_path)
            except IOError:
                pass  # 目录可能已存在
            upload_dir(sftp, local_path, remote_path)
        else:
            sftp.put(local_path, remote_path)

upload_dir(sftp, 'local_dir', '/remote/dir')

# 列出目录
for entry in sftp.listdir_attr('/remote/dir'):
    print(f"{entry.filename}: {entry.st_size} bytes, {entry.st_mode}")

sftp.close()
ssh.close()

lftp（多协议客户端）

# SFTP连接
lftp sftp://user@host
set sftp:connect-program "ssh -o 'PreferredAuthentications=publickey'"

# 镜像同步
mirror -R /local/dir /remote/dir --verbose --delete

# 断点续传
pget -n 5 largefile  # 并行下载

10. 性能优化

传输优化

# OpenSSH配置
# ~/.ssh/config
Host sftpserver
    Compression yes
    Cipher chacha20-poly1305@openssh.com
    Ciphers aes256-gcm@openssh.com,chacha20-poly1305@openssh.com
    KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256
    TCPKeepAlive yes
    ServerAliveInterval 60

# 批量大文件传输
sftp -o BatchMode=yes -b commands.txt user@host

并行传输

# paramiko并行上传
from concurrent.futures import ThreadPoolExecutor
import paramiko

def upload_file(sftp, local_path, remote_path):
    sftp.put(local_path, remote_path)

with ThreadPoolExecutor(max_workers=4) as executor:
    futures = [executor.submit(upload_file, sftp, local, remote) 
               for local, remote in file_pairs]
    for future in futures:
        future.result()

压缩和加密平衡

• 高带宽：禁用压缩（CPU节省）
• 低带宽：启用zlib压缩
• 现代硬件：优先AEAD加密（AES-GCM、ChaCha20）

11. 安全配置和最佳实践

服务器安全

# sshd_config
Port 2222
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
Subsystem sftp internal-sftp

# SFTP专用组
Match Group sftponly
    ChrootDirectory %h
    ForceCommand internal-sftp
    AllowTcpForwarding no
    PermitTunnel no

客户端安全

# 严格主机密钥检查
sftp -o StrictHostKeyChecking=yes -o UserKnownHostsFile=~/.ssh/known_hosts user@host

# 禁用密码认证
sftp -o PreferredAuthentications=publickey user@host

# 证书认证
sftp -o CertificateFile=/path/to/cert.pem -o PrivateKeyFile=/path/to/key.pem user@host

审计和日志

# sftp-server日志
/usr/lib/openssh/sftp-server -f LOCAL3 -l INFO -u 002

# rsyslog配置
local3.*    /var/log/sftp.log

12. 故障排除

常见错误

错误	原因	解决方法
“Connection refused”	SSH服务未运行	检查sshd状态，端口22
“Permission denied”	认证失败	检查公钥权限，authorized_keys
“Broken pipe”	连接超时	增加ServerAliveInterval
“ChrootDirectory”错误	chroot配置问题	检查目录权限，所有者root
“Subsystem request failed”	SFTP子系统不可用	检查sshd_config Subsystem

诊断工具

# SSH调试
ssh -v -o LogLevel=DEBUG3 user@host

# SFTP调试
sftp -v user@host
sftp -o LogLevel=DEBUG3 user@host

# 服务器日志
tail -f /var/log/auth.log
tail -f /var/log/secure

# 网络诊断
nc -zv host 22
tcpdump -i any port 22 -w sftp.pcap

权限问题排查

# Chroot目录要求
ls -ld /home/user/  # drwxr-xr-x root root
ls -l /home/user/.ssh/  # 700 user user
ls -l /home/user/.ssh/authorized_keys  # 600 user user

13. 部署架构

单服务器部署

客户端 → SSH(SFTP) → SFTP服务器

高可用部署

负载均衡器(LVS/DNS)
    ↓
SFTP服务器集群 + 共享存储(NFS/GlusterFS)
    ↓
后端存储

自动化部署

# Ansible部署SFTP用户
---
- name: Create SFTP user
  user:
    name: "{{ sftp_user }}"
    groups: sftponly
    shell: /bin/false
    createhome: yes

- name: Setup chroot
  file:
    path: "/home/{{ sftp_user }}"
    owner: root
    group: root
    mode: '755'

- name: Setup authorized_keys
  authorized_key:
    user: "{{ sftp_user }}"
    key: "{{ lookup('file', 'pubkey.pub') }}"
    state: present

SFTP协议通过SSH的安全通道提供了完整的文件系统操作能力，支持丰富的认证机制和访问控制，是现代安全文件传输的标准解决方案。结合chroot、强制命令和审计功能，SFTP满足企业级文件传输的安全和合规要求。