要让特定用户只能通过sftp访问linux系统且无法ssh登录或访问其他目录，需配置chroot环境并禁用shell：一、创建用户时指定/sbin/nologin shell；二、在sshd_config中启用internal-sftp并用match user设置chrootdirectory；三、确保/sftp/john及其上级目录属主为root、权限755，用户可写目录（如/home）在chroot内单独建立并授权；四、重启sshd前用sshd -t校验配置，通过auth.log排查权限类错误。

要让特定用户只能通过SFTP访问Linux系统，且无法执行SSH命令行登录或访问其他目录，核心是配置Chroot（根目录隔离）环境，并禁用shell交互能力。这不是简单改个shell路径就能完成的，必须配合OpenSSH的Match规则、严格的目录权限和正确的文件结构。

一、创建专用SFTP用户并禁用交互式登录

使用/sbin/nologin或/usr/sbin/nologin作为登录shell，确保该用户无法启动任何shell会话：

• 添加用户时指定chroot主目录和无登录shell：
  sudo useradd -m -d /sftp/john -s /sbin/nologin john
• 设置密码：
  sudo passwd john
• 注意：不要用/bin/false，部分旧版OpenSSH可能不兼容；优先选/sbin/nologin。

二、配置OpenSSH启用Chroot SFTP（关键步骤）

编辑/etc/ssh/sshd_config，在文件末尾添加以下内容（务必放在Subsystem sftp之后）：

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• 关闭默认sftp子系统：
  #Subsystem sftp /usr/lib/openssh/sftp-server（注释掉）
• 启用内建sftp服务器并限制用户组：
  Subsystem sftp internal-sftp
• 匹配目标用户（如john）并强制chroot：
  

  Match User john<br>  ChrootDirectory /sftp/%u<br>  ForceCommand internal-sftp<br>  AllowTcpForwarding no<br>  X11Forwarding no

• 若需批量控制，可用Match Group sftponly，再将用户加入该组。

三、构建合规的Chroot目录结构与权限

Chroot路径（如/sftp/john）必须满足OpenSSH的严格要求，否则登录会失败：

• 所有上级目录（包括/sftp和/sftp/john）属主必须为root，且不能有群组/其他用户写权限：
  

  sudo chown root:root /sftp /sftp/john<br>sudo chmod 755 /sftp /sftp/john

• 用户实际可写目录需在chroot内单独创建（如/home）并重新授权：
  

  sudo mkdir /sftp/john/home<br>sudo chown john:sftponly /sftp/john/home<br>sudo chmod 755 /sftp/john/home

• 常见错误：/sftp/john本身被设为john所有 → 登录直接拒绝。

四、验证与排错要点

重启服务后测试前，务必检查基础项：

• 运行sudo sshd -t确认配置语法无误
• 重启服务：sudo systemctl restart sshd（或service ssh restart）
• 从客户端测试：sftp john@your-server-ip —— 成功即进入/home（实际是chroot后的根）
• 若报错“Write failed: Broken pipe”或“Connection closed”，90%是Chroot目录权限不合规，重点复查/sftp和/sftp/john的属主与权限
• 日志查看：sudo tail -f /var/log/auth.log | grep sshd，可快速定位拒绝原因