vsftpd默认严格禁止root用户登录ftp，这是源码层硬编码的安全策略，删ftpusers或改userlist配置无效；可行方案是用虚拟用户映射到有写权限的普通系统用户，并配置guest_enable+guest_username及anon_upload_enable等权限开关。
vsftpd 默认**严格禁止 root 用户登录 FTP**（无论本地还是虚拟），这是由设计决定的安全策略，不是配置项能绕过的。你无法让 root 直接以用户名 root 登录并上传文件 —— 即使在 /etc/vsftpd/user_list 或 /etc/vsftpd/ftpusers 中删掉 root，服务启动时也会主动拒绝。
真正可行的路径是：**用虚拟用户映射到一个有写权限的普通系统用户（非 root），再通过配置赋予其上传能力**。下面分关键环节说明：
为什么不能直接用 root 登录 vsftpd
vsftpd 在源码层硬编码了对 root 的拦截逻辑：只要 PAM 认证返回 UID=0，它就立即返回 530 Permission denied。这不是配置错误，而是安全强制行为。试图注释 /etc/vsftpd/ftpusers 或改 userlist_deny 都无效。
虚拟用户上传必须配 guest_enable + guest_username
仅启用 guest_enable=YES 不够，你还得指定一个真实存在的、**无登录 shell 且拥有目标目录写权限的系统用户**作为宿主：
-
guest_username=vuser必须对应一个已存在的系统账号（如useradd -s /sbin/nologin -d /var/www/ftp vuser） - 该用户必须对上传目录有写权限：
chown vuser:ftp /var/www/ftp && chmod 755 /var/www/ftp - 若目录是
/home/vuser，注意：从 vsftpd 2.3.5 起，chroot_local_user=YES时，该目录**不能有写权限给 owner**（否则登录失败），应chown root:vuser /home/vuser && chmod 755 /home/vuser，再把子目录（如/home/vuser/upload）设为vuser可写
上传权限开关不止 write_enable
write_enable=YES 是全局基础开关，但虚拟用户还需显式打开对应权限项：
-
anon_upload_enable=YES：控制虚拟用户能否上传文件（名字带anon_是历史遗留，实际作用于所有guest用户） -
anon_mkdir_write_enable=YES：创建目录 -
anon_other_write_enable=YES：重命名、删除、修改权限等操作 - 如果只想要某几个虚拟用户有上传权，别用全局配置，改用
user_config_dir目录下按用户名分文件配置（如/etc/vsftpd/user_conf/upload内写anon_upload_enable=YES）
常见 530 错误的三个真实原因
虚拟用户登录报 530 Login incorrect，90% 不是密码错，而是以下之一：
- PAM 路径写错：
auth required pam_userdb.so db=/etc/vsftpd/vuser中的db=后面**不能带 .db 后缀**（即写/etc/vsftpd/vuser，而非/etc/vsftpd/vuser.db） -
/etc/vsftpd/vuser.db权限不是 600：chmod 600 /etc/vsftpd/vuser.db缺失会导致认证静默失败 - SELinux 阻断：
setsebool -P allow_ftpd_full_access on和setsebool -P ftp_home_dir on必须都启用，否则连目录列表都拿不到
vsftpd 的“允许上传”本质是权限委托，不是身份放行。最易被忽略的一点：**虚拟用户没有独立权限体系，它的读写能力完全取决于所映射的系统用户的目录权限 + vsftpd.conf 中的 anon_* 开关组合**。漏掉任意一环，上传就会静默失败或报 550/530。
