pure-ftpd 虚拟用户无法 chdir 的 ChrootEveryone 配置细节

ChrootEveryone yes 时虚拟用户被chroot到home目录是正常行为，要求home目录属主为root:root、权限755/750、真实存在且非符号链接，需手动创建并禁用CreateHomeDir。

ChrootEveryone yes 时虚拟用户登录后自动被锁在 home 目录

这是 ChrootEveryone yes 的预期行为，不是错误。Pure-FTPd 启用该选项后，所有用户（包括虚拟用户）都会被 chroot 到其 home 目录，且该目录必须由 root 拥有、不可写（否则 chroot 失败）。常见现象是用户一登录就报 500 OOPS: cannot change Directory 或直接卡在 ftp> 提示符但 pwd 显示 /，ls 列不出任何内容。

关键点在于：virtual user 的 home 目录不是“随便设一个路径就行”，它必须满足 chroot 安全模型要求：

• 目录所有权必须是 root:root
• 目录权限不能含 group/other 写位（即不能是 775、777；推荐 755 或 750）
• 目录内需包含基本的设备节点和 bin 工具（仅当启用 ChrootEveryone + BrokenClientsCompatibility no 且用户需执行 shell 命令时才需要；但 pure-ftpd 本身不依赖这些，所以通常只需确保目录结构可访问）
• 虚拟用户的 home 路径必须与 pure-pw useradd 中指定的完全一致，且不能是符号链接（chroot 不跟随 symlink）

pure-pw 添加虚拟用户时 home 路径必须真实存在且权限合规

很多人用 pure-pw useradd alice -u ftpuser -d /srv/ftp/alice，但没创建目录或权限设错。pure-ftpd 不会自动创建或修复 home 目录。

正确操作顺序：

• 手动创建目录：sudo mkdir -p /srv/ftp/alice
• 设属主为 root：sudo chown root:root /srv/ftp/alice
• 设权限为 755：sudo chmod 755 /srv/ftp/alice
• 再为该用户建实际可写子目录（如 upload）：sudo mkdir /srv/ftp/alice/upload，并设属主为映射的系统用户（如 ftpuser）：sudo chown ftpuser:ftpuser /srv/ftp/alice/upload
• 最后运行 pure-pw useradd，其中 -d 指向的是 chroot 根（即 /srv/ftp/alice），不是可写子目录

注意：-u ftpuser 是指定映射的系统 UID，pure-ftpd 用它来决定文件创建时的属主；而 -d 是 chroot jail 路径，二者作用完全不同。

ChrootEveryone 和 CreateHomeDir 冲突会导致 chdir 失败

如果同时开启 CreateHomeDir yes（通过 pure-ftpd-wrapper 或配置文件），pure-ftpd 会在用户首次登录时尝试创建 home 目录——但这与 ChrootEveryone yes 矛盾：chroot 后进程已无权限在 root-owned 目录下创建子目录。

结果就是登录时看似成功，但 cwd 或 pwd 报错，日志里出现类似 chdir to /srv/ftp/alice failed: Permission denied。根本原因是 pure-ftpd 尝试在 chroot 后环境里做 mkdir，失败后未回退，导致后续路径解析异常。

解决方法只有一条：禁用 CreateHomeDir，严格手动预置 home 目录及其权限。检查配置中是否含 CreateHomeDir yes，如有，注释掉或设为 no，然后重启服务。

调试时务必看 pure-ftpd 的 -d 日志和 auth.log

单纯看 FTP 客户端提示容易误判。真正线索在服务端日志：

• 启动 pure-ftpd 加 -d 参数（如 pure-ftpd -d -c 5 -C 5 -l puredb:/etc/pure-ftpd/pureftpd.pdb）可输出详细连接与 chdir 过程
• 典型失败日志行：Cannot chdir to /srv/ftp/alice: Permission denied —— 这说明 chroot 根目录权限/属主不对
• 系统 /var/log/auth.log 里可能有 chroot() failed 或 seteuid() failed，指向 UID 映射或 capability 问题（尤其在容器或 systemd 环境中）
• 用 pure-pw show username 确认数据库中记录的 home 路径与磁盘实际路径、权限完全一致

最易忽略的一点：某些发行版（如 debian）的 pure-ftpd 默认以 pure-ftpd 用户运行，它可能没有读取 /etc/pure-ftpd/pureftpd.pdb 的权限，导致虚拟用户认证降级为系统用户查找，进而 chdir 到错误路径。检查 stat /etc/pure-ftpd/pureftpd.pdb 和对应用户组权限。