sftp上传失败“权限拒绝”需依次排查：一、检查目标目录属主与写权限；二、确认chroot配置是否限制写入；三、审查selinux策略拦截；四、核查sftp子系统是否启用只读模式；五、验证用户shell及home目录有效性。

如果您在使用WinSCP通过SFTP协议传输文件时失败，并提示“权限拒绝”，则可能是目标服务器目录缺乏写入权限、用户身份认证受限或SELinux/AppArmor等安全模块干预。以下是解决此问题的步骤：

一、检查目标目录的属主与权限设置

Linux系统中，SFTP上传失败常因目标路径不具备当前用户的写权限。需确认远程目录的归属用户、所属组及rwx权限位是否匹配登录用户身份。

1、在WinSCP中打开终端（菜单栏：命令 → 旧式控制台 或 快捷键 Ctrl+T）。

2、输入 ls -ld /path/to/target/directory，将 /path/to/target/directory 替换为实际上传路径，查看目录的详细权限信息。

3、确认输出中第三列（属主）和第四列（属组）是否为当前SFTP登录用户，且权限位中包含 w（如 drwxr-xr-x 中属主位的 w）。

4、若属主不匹配，执行 sudo chown username:username /path/to/target/directory 修改归属；若无写权限，执行 chmod u+w /path/to/target/directory 添加用户写权。

二、验证SFTP用户是否被限制在chroot环境中

部分SSH服务器配置了ChrootDirectory，强制用户根目录隔离。此时用户仅能访问指定子树，且该目录必须由root拥有且不可被组/其他用户写入，否则SFTP服务会拒绝写操作。

1、在服务器端检查SSH配置文件：sudo cat /etc/ssh/sshd_config | grep ChrootDirectory。

2、若存在非注释行输出，记录其指定路径（如 /srv/sftp/%u）。

3、执行 sudo ls -ld /srv/sftp/%u（替换 %u 为实际用户名），确认该目录所有者为 root，且权限为 dr-xr-xr-x 或更严格（即组和其他用户无写权）。

4、若目录属主非root或含组/其他写权，执行 sudo chown root:root /srv/sftp/username 和 sudo chmod 755 /srv/sftp/username。

5、在chroot目录内创建可写子目录（如 upload），并将其属主设为SFTP用户：sudo mkdir /srv/sftp/username/upload && sudo chown username:username /srv/sftp/username/upload。

三、排查SELinux策略限制（仅限RHEL/CentOS/Fedora）

SELinux可能阻止sshd进程对非标准目录执行写操作，即使传统Linux权限已放开。

1、确认SELinux是否启用：getenforce，若返回 Enforcing 则生效。

2、检查最近SFTP相关拒绝日志：sudo ausearch -m avc -ts recent | grep sshd。

3、若日志中出现 avc: denied { write }，说明SELinux拦截。

4、临时放宽策略以验证：执行 sudo setsebool -P ssh_chroot_rw_homedirs on（适用于chroot场景）或 sudo semanage fcontext -a -t ssh_home_t "/path/to/target/directory(/.*)?" 后运行 sudo restorecon -Rv /path/to/target/directory。

四、检查SSH服务端SFTP子系统配置

OpenSSH的SFTP子系统若被配置为只读模式，或挂载了只读文件系统，会导致所有上传操作被拒绝。

1、查看sshd_config中SFTP配置：sudo grep -A 5 "Subsystem.*sftp" /etc/ssh/sshd_config。

2、若发现 ForceCommand internal-sftp -R，其中 -R 表示只读，需移除该参数。

3、若使用自定义SFTP服务器（如vsftpd、proftpd），检查其配置文件中是否启用 write_enable=NO 或类似禁止写入的指令。

4、重启SSH服务使配置生效：sudo systemctl restart sshd（或 sudo service ssh restart）。

五、验证用户shell与home目录状态

SFTP依赖用户具备合法shell及可访问home目录。若用户shell被设为 /sbin/nologin 或 home目录不存在/不可读，SFTP会拒绝建立会话或限制路径遍历。

1、检查用户shell：getent passwd username | cut -d: -f7，应返回 /bin/bash、/usr/bin/bash 或 /bin/sh；若为 /sbin/nologin 或 /bin/false，需修改为有效shell：sudo usermod -s /bin/bash username。

2、确认home目录存在且权限正确：getent passwd username | cut -d: -f6 获取home路径，再执行 ls -ld /home/username，确保属主为该用户且至少含 r-x 权限。

3、若home目录被删除，重建并赋权：sudo mkdir /home/username && sudo chown username:username /home/username && sudo chmod 700 /home/username。