在服务器上添加FTP账号和密码的核心在于选择并安装合适的FTP服务软件，通过创建系统用户或虚拟用户进行身份验证，并精准配置目录权限与安全策略，无论是Linux环境还是Windows环境，其本质都是建立客户端与服务器之间的文件传输通道，同时确保数据传输的安全性与隔离性，为了实现这一目标，管理员需要掌握命令行操作或图形界面管理工具，并严格遵循最小权限原则，防止未经授权的访问。
Linux环境下使用vsftpd搭建FTP服务
Linux服务器是企业级应用的首选,而vsftpd（Very Secure FTP Daemon）凭借其高安全性和稳定性，成为Linux系统下最主流的FTP服务器软件。
安装与基础配置
需要通过包管理器安装vsftpd，在CentOS系统下，可以使用yum install vsftpd命令；在Ubuntu或Debian系统下，则使用apt-get install vsftpd，安装完成后，不要急于启动，必须先修改主配置文件/etc/vsftpd/vsftpd.conf，关键配置项包括：禁用匿名登录（anonymous_enable=NO），允许本地用户登录（local_enable=YES），以及开启写权限（write_enable=YES），为了防止用户通过FTP跳转到系统其他目录，务必开启用户锁定（chroot_local_user=YES），并设置允许列表（chroot_list_enable=YES），将需要限制的用户列入/etc/vsftpd/chroot_list文件中。
创建FTP专用账号
出于安全考虑，不建议直接使用root用户进行FTP操作，应创建专门的用户账号，使用命令useradd -d /var/www/html/ftpuser -s /sbin/nologin ftpuser创建一个新用户，这里-d参数指定了该用户的家目录，即FTP登录后的根目录；-s /sbin/nologin参数至关重要，它限制了该用户只能用于FTP服务，无法通过SSH登录服务器Shell，从而极大提升了系统安全性，创建用户后，使用passwd ftpuser命令为其设置强密码。
目录权限与SELinux设置
账号创建完毕后，必须确保该用户对指定目录拥有读写权限，使用chown -R ftpuser:ftpuser /var/www/html/ftpuser将目录所有者变更为新用户，并使用chmod 750 /var/www/html/ftpuser设置适当的权限，如果服务器开启了SELinux（这是CentOS的默认安全机制），还需要执行setsebool -P ftp_home_dir 1命令，允许FTP用户访问其家目录，否则会导致登录失败无法读取文件列表。
Windows Server环境下利用IIS配置FTP
对于Windows Server用户，利用内置的IIS（Internet Information Services）管理器添加FTP账号是最为便捷的方式，其图形化界面降低了操作门槛。
安装FTP服务角色
打开“服务器管理器”，点击“添加角色和功能”，在“Web服务器（IIS）”角色中，勾选“FTP服务”和“FTP扩展性”组件进行安装，安装完成后，打开IIS管理器，你将看到FTP相关的选项。
创建FTP站点与身份验证
在IIS管理器中右键点击“网站”，选择“添加FTP站点”，在向导中设置站点名称和物理路径（即用户登录后看到的文件夹），在“身份验证”设置中，必须禁用“匿名身份验证”，启用“基本身份验证”，基本身份验证会将用户名和密码明文传输，因此在公网环境下建议配合SSL使用，但在内网环境中这是最兼容的验证方式。
授权与访问权限
在“授权”步骤中，选择“指定用户”，并输入允许访问的Windows系统用户名，如果该用户尚未创建，需先在计算机管理中创建本地用户，在“身份验证”和“授权”配置完成后，还需检查FTP站点的“FTP SSL设置”和“FTP防火墙支持”，特别是“防火墙支持”部分，需要明确数据通道端口范围（被动模式），并在Windows防火墙或云服务商的安全组中放行这些端口，以确保数据传输的稳定性。
安全加固与独立见解
仅仅搭建好FTP服务是不够的,数据传输安全与访问控制是运维的重中之重。
虚拟用户技术的应用
在Linux高并发场景下，直接创建系统用户会消耗大量系统资源且存在安全隐患，专业的解决方案是采用虚拟用户模式，即创建一个映射到系统用户的虚拟用户数据库，所有FTP登录者实际上都是通过这个数据库进行验证的，这种方式不仅管理灵活，而且即使虚拟用户账号泄露，攻击者也无法直接获得系统Shell权限。
被动模式（Passive Mode）的必要性
FTP协议的特殊性在于它使用两个端口：命令端口（21）和数据端口，在防火墙和NAT环境下，主动模式往往会导致客户端无法连接服务器。必须在服务端配置被动模式，指定一个固定的端口范围（如50000-51000），并在防火墙中放行这些端口，这是解决“能连接但无法列出目录”这一常见问题的关键。
定期审计与日志监控
无论是Linux还是Windows，都应开启FTP日志记录，通过定期审查/var/log/xferlog或IIS日志，可以及时发现异常的登录尝试（如暴力破解）或大文件传输行为，建议配合Fail2Ban等工具，自动封禁多次尝试登录失败的IP地址，构建主动防御体系。
相关问答
Q1：为什么FTP连接时能登录成功，但无法列出文件目录或传输文件？
A1：这通常是防火墙拦截了数据连接端口导致的，FTP分为主动模式和被动模式，现代客户端和处于NAT网络后的服务器多使用被动模式，解决方法是在服务端配置文件（如vsftpd.conf）中开启被动模式，指定一个端口范围（例如pasv_min_port=50000和pasv_max_port=51000），并在云服务商的安全组或服务器系统防火墙中同时放行TCP 21端口以及该指定的被动端口范围。
Q2：如何限制FTP用户只能访问特定目录，而不能访问服务器的其他文件？
A2：在Linux vsftpd中，通过设置chroot_local_user=YES可以实现，默认情况下，这会将所有本地用户锁定在其家目录中，如果需要例外（即允许某些用户跳出），可以配置chroot_list_file=/etc/vsftpd/chroot_list，并在该文件中列出不需要锁定的用户，在Windows IIS中，则是在FTP站点的“FTP用户隔离”设置中，选择“用户名目录”或“根目录”来限制用户的访问范围。
希望以上详细的配置方案能帮助您顺利在服务器上搭建安全、高效的FTP服务，如果您在具体操作过程中遇到端口冲突或权限报错等问题，欢迎在下方留言讨论，我们将为您提供进一步的排查建议。
