宝塔FTP账号由面板内置pyftpdlib服务统一管理，必须通过面板添加、带www_ftp_前缀、绑定已有网站根目录；530错误多因账号禁用或密码含特殊字符，425错误主因PASV端口（21000-21999）未在安全组及宝塔防火墙放行。
FTP 账号在宝塔里根本不是独立服务，别瞎配 vsftpd 或 pure-ftpd 配置文件
宝塔的「FTP」功能本质是调用其内置的轻量 FTP 服务（基于 pyftpdlib），所有账号、根目录、权限都由面板统一管理。直接去服务器上改 /etc/vsftpd.conf 或重启 pure-ftpd 不仅无效，还会导致面板前端显示异常甚至账号消失。
- 新建 FTP 账号必须走「网站」→「FTP」页面，点击「添加 FTP」，不能 SSH 手动创建系统用户
- 账号名自动加前缀（如
www_ftp_test），这是宝塔识别归属的关键，手动删前缀会导致无法登录或权限错乱 - 「根目录」必须选已存在的网站根目录（如
/www/wwwroot/example.com），填错路径会导致登录后看不到文件，但不会报错
登录失败常见错误：530 Login incorrect 和 425 Can't open data connection
前者是认证问题，后者是被动模式（PASV）端口不通——这两类错误在宝塔 FTP 中占比超 90%。
-
530 Login incorrect：检查账号是否被禁用（面板里开关是灰色的）、密码是否含特殊字符（如@、/，部分 FTP 客户端会截断）、是否误用了主控账号（root或面板登录账号）而非 FTP 子账号 -
425 Can't open data connection：宝塔默认 PASV 端口范围是21000-21999，必须在服务器安全组和宝塔「安全」页面同时放行该端口段；若用了云厂商（阿里云/腾讯云），光开宝塔防火墙没用，云控制台的安全组也得加规则 - 本地测试建议用 FileZilla，它会在日志里明确标出卡在哪一步；浏览器直连或手机 APP 往往只显示「连接失败」，排查成本高
权限分配不是靠 Linux chmod，而是靠宝塔 FTP 账号绑定的「目录限制」
你在 FTP 客户端里看到的可写/不可写，不取决于 chmod 755，而取决于账号创建时选的「根目录」以及是否勾选「禁止上传」。
- 勾选「禁止上传」后，FTP 用户只能下载、查看，
put、mkdir全部拒绝，且这个限制优先级高于系统文件权限 - 没勾选「禁止上传」但实际无法上传，大概率是网站根目录属主不是
www（比如你用root解压过代码），此时需在宝塔「文件」页面右键目录 → 「权限设置」→ 把所有者设为www - 一个账号只能绑一个根目录，想访问多个站点？必须建多个 FTP 账号，别指望用
../跳转——宝塔做了路径隔离，越界访问直接 550 错误
用命令行验证 FTP 是否真通，比看面板状态栏靠谱得多
面板上显示「运行中」不代表你能连上，尤其跨网络或走 CDN 后，得用最原始的方式测通路。
- 用
ftp -v [服务器IP] 21测试端口通不通（注意不是 20 或 PASV 端口），能进 login 提示符说明基础服务活着 - 如果卡在
227 Entering Passive Mode后无响应，基本就是 PASV 端口被拦了，立刻查云安全组 + 宝塔防火墙 + 本地路由器端口映射（家用宽带常见） - 不要用
lftp或curl ftp://做判断——它们对 PASV 兼容性太好，容易掩盖真实问题
FTP 的权限边界其实很薄：它不继承 Linux 用户组，也不读取 .htaccess，所有控制都在宝塔那张数据库表里。改错一行配置，可能让整个站点文件对公网裸奔，或者让开发连不上传不了图。盯住「根目录」「PASV 端口」「账号前缀」这三处，比翻文档有用。
