vsftpd启用chroot_local_user=yes后登录失败，是因为其默认禁止chroot根目录可写；若用户家目录（如/home/ftpuser）权限含w位（如755），则报500 oops错误；解决方法为chmod a-w /home/ftpuser或配置allow_writeable_chroot=yes。
vsftpd 的 chroot_local_user=YES 为什么一启用就登录失败
因为 vsftpd 从 2.3.5 版本起默认禁止用户主目录可写，而 chroot_local_user=YES 启用后，若用户家目录（如 /home/ftpuser）权限含写位（比如 755、775），服务会直接拒绝 chroot 并报错 500 OOPS: vsftpd: refusing to run with writable root inside chroot()。
实操建议：
- 要么执行
chmod a-w /home/ftpuser去掉家目录的写权限（注意：这会导致用户无法上传文件到根目录） - 要么在
/etc/vsftpd/vsftpd.conf中显式添加allow_writeable_chroot=YES—— 这是绕过该检查的唯一安全开关，必须配，否则 chroot 不生效 - 不要试图用
chmod 755+chown ftpuser:ftpgroup组合来“兼顾权限”，vsftpd 对 root 目录写权限的检查是硬策略，不看属主，只看权限位
chroot_list_enable=YES 时，/etc/vsftpd/chroot_list 文件怎么写才有效
这个文件只在 chroot_local_user=NO 且 chroot_list_enable=YES 组合下起作用；它不是白名单也不是黑名单，而是“明确指定哪些用户要被 chroot”——没列进去的用户完全不受限制，能自由跳转目录。
常见错误包括：
- 文件路径写错，比如配置了
chroot_list_file=/etc/vsftpd/chroot_list，但实际创建的是/etc/vsftpd/chroot_list.txt - 文件权限不对：
/etc/vsftpd/chroot_list必须是 root 可读、其他用户不可写（推荐chmod 644），否则 vsftpd 启动时静默忽略该列表 - 用户名拼写错误或含空格/换行符：每行一个纯用户名，不能带
:、/或注释符号，末尾不能有多余空格 - 忘记重启服务：
systemctl restart vsftpd后再测试，否则修改不生效
用户能登录但 cd .. 还是逃出 chroot，说明什么
说明 chroot 没真正生效，最可能的原因是 allow_writeable_chroot=YES 缺失，或者 chroot_local_user 和 chroot_list_enable 的布尔组合逻辑搞反了。
典型错误配置：
-
chroot_local_user=YES却没加allow_writeable_chroot=YES→ 登录成功但 chroot 失败，表现为看似进了家目录，实际仍可cd / -
chroot_local_user=NO且chroot_list_enable=NO→ 所有用户都不受限制，chroot_list文件形同虚设 - 用户被加入
chroot_list，但配置里写的是chroot_local_user=YES→ 列表被忽略，所有用户都被 chroot（可能不符合预期）
验证方法：登录后执行 pwd，再 ls /。如果能看到系统根目录下的 bin、etc 等目录，说明 chroot 完全未触发。
FTP 用户需要上传文件，chroot 内目录结构该怎么建
vsftpd 的 chroot 要求用户主目录本身不可写（除非开了 allow_writeable_chroot=YES），但用户又必须有地方存文件——所以得在主目录下建子目录，并确保其可写、且路径在 chroot 视角内合法。
标准做法：
- 用户家目录设为
/home/ftpuser，权限755，属主root:ftpgroup（或ftpuser:ftpgroup，取决于是否启用allow_writeable_chroot） - 在其下建上传目录：
mkdir -p /home/ftpuser/upload - 授权给用户：
chown ftpuser:ftpgroup /home/ftpuser/upload，权限设为755或775（避免700，否则 vsftpd 可能因 group/other 无执行位而无法进入） - 如果用了
local_root=/home/$USER/ftp，那真实 chroot 根就是/home/ftpuser/ftp，所有操作都基于此路径，别混淆层级
容易被忽略的一点：vsftpd 不支持嵌套 chroot，local_root 路径必须是绝对路径，且不能跨文件系统挂载点（比如 /mnt/nas/ftpuser 若是独立 mount，很可能失败）。
