一、协议知识
FTP
FTP (File Transfer Protocol，RFC 959)是TCP/IP网络上用于文件传输的标准协议，基于C/S架构，可以上传、下载、删除文件，创建或改变服务器上的目录。在客户端和服务器间要建立分离的控制和数据连接，控制连接用于Session管理，如交换命令和回复、交换用户标识和密码等，数据连接用于传输数据。FTP使用明文登录协议验证用户名和密码，如果服务器允许也可以匿名连接。
FTP有两种传输模式：主动和被动。主动模式时，客户端创建到服务器的TCP控制连接，发送客户端IP地址和随机的端口号，然后等待服务器初始化数据连接。这种情况下，如果客户端有防火墙，将无法接受进入的TCP连接。被动模式时，客户端使用控制连接向服务器发送PASV命令，然后接收服务器IP地址和端口号，客户端使用随机端口建立到服务器的数据连接。由于控制连接和数据连接都由客户端发起，可以解决防火墙问题。
多数浏览器和文件管理器都能连接FTP服务器，默认大都使用被动模式。FTP URL语法如下：
ftp://[<user>[:<password>]@]<host>[:<port>]/<url-path>
FTP不是一个安全的协议，用户名、密码、命令和数据等都使用明文传输，内容非常容易被截获。在加密机制创立前设计的的网络协议，如SMTP、Telnet、POP、IMAP等都有这个问题。
FTPS
FTP over SSL，常被称为Secure FTP，它是构建在SSL/TLS（RFC5246，Secure Socket Layer/Transport Layer Security）协议之上的，通过SSL/TLS对信道进行加密传输，它本身还需要FTP服务器的支持，又分为显示和隐式：
显示FTPS又称为FTPES，是对FTP标准的扩展，客户端必须显示请求（客户端发送"AUTH TLS"命令）对FTP会话加密。如果客户端不要求加密，服务器也允许非加密通讯。服务器可以选择允许或拒绝未请求TLS的连接。这个扩展协议在推荐标准RFC4217中定义。
隐式FTPS是过期的FTP标准，需要所有客户端都使用SSL或TLS连接。为了保持兼容性，隐式FTPS控制连接使用990端口，数据连接使用989端口。注意，隐式FTPS未在RFC4217中定义。
FTPS支持如下验证方式：
1、密码验证
2、SSL证书验证
SFTP
SFTP(SSH File Transfer Protocol)是SSH 2.0的一项扩展协议，提供安全的文件访问、传输和管理功能。SFTP协议的目标是通过可靠的数据流提供安全的文件传输功能，本身不提供验证和安全机制，需要依赖底层协议。SFTP协议虽然在SSH2协议中描述，但它是通用的，独立于SSH2套件中的其余协议。SFTP常作为SSH2.0实现的一个子系统。
SFTP功能与FTP相似，有相似的命令集，但与FTP是无关的。与标准FTP不同，SFTP加密命令和数据，以防止在网络上明文传输密码和敏感信息。SFTP由于使用了不同的协议，不能使用标准的FTP客户端与SFTP服务器通讯，也不能使用SFTP客户端与FTP服务器通讯。
SFTP是二进制协议，所有的命令（请求）都打包成二进制消息后发送到服务器，服务器回复二进制应答包。
与早期的仅支持文件传输的SCP协议（SSH1.x中的）相比，SFTP协议支持更广泛的远程文件操作。SFTP客户端增加的额外功能包括：恢复中断的传输、目录列表、远程文件删除。SFTP服务器支持大多数平台。SSH 1是过时的，不安全的，不推荐使用。
SSH服务器提供了如下3种验证方式：
1、密码验证
2、密钥验证
3、密码+密钥验证
关于验证方式的选择，推荐使用密钥验证，其安全性高于单纯的密码验证。
目前使用最广泛的SFTP服务器是OpenSSH。
FTPS vs. SFTP What to Choose
二、Java客户端API
Apache Commons Net
支持的协议:
- FTP/FTPS
- FTP over HTTP (experimental)
- NNTP
- SMTP(S)
- POP3(S)
- IMAP(S)
- Telnet
- TFTP
- Finger
- Whois
- rexec/rcmd/rlogin
- Time (rdate) and Daytime
- Echo
- Discard
- NTP/SNTP
jsch
SSH2的纯Java实现(BSD style license)，可以连接到sshd服务器，支持端口转发、X11转发、文件传输；支持http代理、SOCKS5代理；支持密码、密钥验证。
ftp4j
ftp4j是实现了全功能FTP客户端的Java类库（LGPL license），可以传输文件，浏览远程FTP站点（包括目录列表），创建、删除、重命名、移动远程目录和文件。ftp4j 支持多种方式连接到远程FTP服务器：通过TCP/IP直接连接，通过FTP代理、HTTP代理、SOCKS 4/4a代理和SOCKS 5代理等。
支持FTPS(FTP over implicit TLS/SSL) 和FTPES (FTP over explicit TLS/SSL)。
三、FTP和SSH客户端
FileZilla
支持FTP、FTPS、SFTP，支持Windown、Linux、BSD、Mac OS等多种平台，支持多种语言，支持HTTP/1.1、SOCKS5、 FTP代理。
WinSCP
WinSCP是开源的Windows图形化SFTP客户端。支持基于SSH-1、SSH-2的SCP和SFTP协议；支持多语言；支持批处理脚本和命令行方式；内置文本编辑器；集成Putty。
Core FTP
Windows FTP客户端，支持FTP、FTPS、SFTP协议。
PuTTY
SSH、Telnet和Rlogin客户端，适用于Windows和Unix平台，支持X11转发（Windows下需安装Cygwin/X, X-Win32, 或Exceed）、端口转发。
四、服务器
OpenSSH是SSH协议的开源实现，在Unix系统中广泛使用。
OpenSSH包括以下工具：
- 远程操作ssh, scp, sftp
- 密钥管理ssh-add, ssh-keysign, ssh-keyscan, ssh-keygen
- 服务端包含sshd, sftp-server, ssh-agent
Apache SSHD是支持SSH协议的100%纯Java类库，可用于客户端和服务端。SSHD的目标是为需要SSH服务的Java应用提供支持，而不是为了取代Unix操作系统的SSH客户端和SSH服务。SSHD很容易嵌入到Java应用中。
Dropbear是一个开源的SSH服务器和客户端（MIT-style license），特别适用于嵌入型Linux（或其他Unix）系统，如无线路由器。
Windows平台SSH服务器的免费实现，安装后可快速创建SSH服务。
FTP服务器比较：http://en.wikipedia.org/wiki/Comparison_of_FTP_server_software
SSH服务器比较：http://en.wikipedia.org/wiki/Comparison_of_SSH_servers
五、使用OpenSSH搭建SFTP服务器
1. 密码验证方式
1) 创建SFTP账户
groupadd sftp
useradd -m -d /home/sftp -g sftp -s /sbin/nologin sftp
设置账户密码：
passwd sftp
2) 创建SFTP目录
#创建SFTP用户根目录
mkdir /sftp
chown root:root /sftp
chmod 755 /sftp
#创建SFTP存储目录
cd /sftp
mkdir xxxx
chown sftp:sftp xxxx
chmod 755 xxxx
3) SSH配置
vim /etc/ssh/sshd_config
#启用密码验证
PasswordAuthentication yes
#注释原来的Subsystem设置
#Subsystem sftp /usr/libexec/openssh/sftp-server
#启用internal-sftp
Subsystem sftp internal-sftp
#设置Chroot目录
Match User sftp
X11Forwarding no
AllowTcpForwarding no
ForceCommand internal-sftp
ChrootDirectory /sftp
注意：Chroot目录及其所有上级文件夹的权限，owner和group必须是root；权限最大设置是755，否则无法登录。
如果创建了多个sftp账户，也可根据组进行配置：
Match Group sftp
X11Forwarding no
AllowTcpForwarding no
ForceCommand internal-sftp
# %u代表用户名，此处需在/sftp目录下创建用户文件夹(也可使用用户目录%h,这种方式更简单)
ChrootDirectory /sftp/%u
4) 重启sshd服务和测试
service sshd restart
sftp [email protected]
2. 密钥验证方式
使用密钥验证方式，为了安全由要访问SFTP服务器的用户创建密钥对，然后将公钥发送给SFTP服务器管理员，由其导入到SFTP账户的authorized_keys文件中。
1) 生成密钥对
ssh-keygen -t rsa -N ‘’ -C comment -f filename
-t 代表key类型（算法），可选值”dsa”, “rsa”, “ecdsa”
-N 指定密码，可以为空
-C comment，会显示在公钥末尾，便于区分公钥，默认为username@host
-f 密钥文件名，默认为~/.ssh/id_dsa，~/.ssh/id_rsa，~/.ssh/id_ecdsa
2) 将公钥导入SFTP账户的~/.ssh/authorized_keys文件中
cat id_rsa.pub >> .ssh/authorized_keys
chmod 700 .ssh
chmod 600 .ssh/authorized_keys
3) 编辑sshd_config
# 启用密钥验证
PubkeyAuthentication yes
其他步骤与密码验证方式相同。
也可以使用PuTTYgen工具生成密钥对。 
参考文档