我整个上午都在搜索和阅读文档，并明白我需要使用 chown 和可能的“jailing”的某种组合来安全地让程序员访问我的 centos 网络服务器上的目录。
情况如下：我有一个 apache Web 服务器，它有任意数量的虚拟站点位于 /var/www/site1 /var/www/site2 等。
我有不同的开发人员需要完全访问 ssh 和 vsFTP 才能访问他们正在处理的站点。在这种情况下创建和维护安全性的最佳方法是什么。我的想法是为每个编码员创建一个新用户，将该用户监禁到允许他们工作的网站目录，将他们的用户添加到一个组并将 webroot 的所有者设置为该组。
有什么想法吗？好，坏，丑？谢谢！
首先，尽快删除 vsFTP。在互联网上以纯文本形式发送源代码和密码是一个非常糟糕的主意。FTP 应该只用于匿名文件传输，应该使用 sftp 或 ftp+ssl 并删除冗余。拥有 2 个守护进程会使您更容易受到攻击，考虑尽可能减少攻击面。
传统的 Chroot 监狱虽然可以完成工作，但可能有点矫枉过正。您需要担心 2 个威胁。首先是用户可以使用 ssh 下载/修改代码。这可以通过使用 sshd 配置文件中的 ChrootDirectory 配置来防御：
下一个威胁是程序员可以上传恶意代码，例如 PHP 后门来访问您的系统。这更加隐蔽，因为后门可以像添加 2 个字符或删除 2 个字符一样简单。
应对恶意内部人员威胁的最安全方法是使用 svn+ssh，强制每个程序员在其本地系统上进行开发，然后审查提交的所有代码。SVN 将跟踪谁向您的系统添加了哪些代码。在您测试代码是否存在漏洞后，无论是有意还是无意，您都可以在您的实时服务器上部署“发布”版本。在实时服务器上进行开发是一个坏主意，因为它会导致在开发过程中意外停机。
代替 chroot，apache 的 suexec 模块是防止滥用的一个很好的选择。
否则我会第二个“未知”的评论。