11notes/sftp

SFTP

!size!https://raw.githubusercontent.com/11notes/static/refs/heads/master/img/markdown/transparent5x2px.png!pulls!https://raw.githubusercontent.com/11notes/static/refs/heads/master/img/markdown/transparent5x2px.png%5B](https://github.com/11notes/docker-sftp/issues)!https://raw.githubusercontent.com/11notes/static/refs/heads/master/img/markdown/transparent5x2px.png!swiss_made

镜像概述和主要用途

本镜像基于OpenSSH以无root权限（rootless）方式运行SFTP服务器。OpenSSH是由OpenBSD开发的远程登录工具，通过SSH协议加密所有流量，防止窃听、连接劫持等***，并提供多种安全隧道、认证方式和配置选项。与其他镜像不同，本镜像不提供chroot监狱，旨在以单用户模式运行，所有需要共享的目录挂载于/home/%u。当需要通过单个入口点暴露多个端点时，可在本镜像前使用SSH代理。使用前需提供密钥。

核心功能和特性

• 无root权限运行：以1000:1000用户组权限运行，提升安全性
• 自动更新：通过CI/CD流程自动更新至最新版本
• 健康检查：内置健康检查机制，确保服务可用性
• 只读运行：镜像本身设为只读，防止未授权写入
• 漏洞扫描：发布前后自动扫描漏洞（CVEs）
• 安全CI/CD流程：通过安全且固定的CI/CD流程构建
• 精简体积：镜像体积小，资源占用低

使用场景和适用范围

适用于需要安全文件传输的场景，尤其适合注重安全性、简洁性和极致优化的用户。可作为独立SFTP服务，或与反向代理配合使用以实现多端点管理。

详细使用方法和配置说明

Docker Compose配置示例

如需使用密钥而非环境变量，请查看https://github.com/11notes/docker-sftp/blob/master/compose.secrets.yml%E3%80%82

yaml
name: "sftp"

x-lockdown: &lockdown
  # 防止对镜像本身的写访问
  read_only: true
  # 防止容器内进程获取更多权限
  security_opt:
    - "no-new-privileges=true"

services:
  password:
    image: "11notes/sftp:10.3.0"
    <<: *lockdown
    environment:
      TZ: "Europe/Zurich"
      SSH_USER: "foo"
      SSH_PASSWORD: "${SSH_PASSWORD}"
    volumes:
      - "foo.var:/home"
    tmpfs:
      # 只读模式所需
      - "/run/ssh:uid=1000,gid=1000,size=1m"
    secrets:
      - "ssh_host_key"
    ports:
      - "8021:22/tcp"
    networks:
      frontend:
    sysctls:
      # 允许无root容器访问小于1024的端口
      net.ipv4.ip_unprivileged_port_start: 22
    restart: "always"

  key:
    image: "11notes/sftp:10.3.0"
    <<: *lockdown
    environment:
      TZ: "Europe/Zurich"
      SSH_USER: "bar"
    volumes:
      - "bar.var:/home"
    tmpfs:
      # 只读模式所需
      - "/run/ssh:uid=1000,gid=1000,size=1m"
    secrets:
      - "ssh_host_key"
      - "authorized_keys"
    ports:
      - "8022:22/tcp"
    networks:
      frontend:
    sysctls:
      # 允许无root容器访问小于1024的端口
      net.ipv4.ip_unprivileged_port_start: 22
    restart: "always"

volumes:
  foo.var:
  bar.var:

networks:
  frontend:

secrets:
  ssh_host_key:
    file: "./ssh_host_ed25519_key.txt"
  authorized_keys:
    file: "./authorized_keys.txt"

如需修改容器默认UID/GID，请参考https://github.com/11notes/RTFM/blob/main/linux/container/image/11notes/how-to.changeUIDGID.md#change-uidgid-the-correct-way%E3%80%82

默认设置

环境变量

主要标签

以下是镜像的主要标签，同时也提供每个提交及其sha256简写值对应的标签：

• https://hub.docker.com/r/11notes/sftp/tags?name=10.3.0
• https://hub.docker.com/r/11notes/sftp/tags?name=10.3.0-unraid
• https://hub.docker.com/r/11notes/sftp/tags?name=10.3.0-nobody

关于无latest标签的说明

我认为:latest标签是不良习惯，不应使用。许多开发者在新版本中引入破坏性变更，这会影响使用:latest的用户。如不想手动更新标签至最新语义化版本，可使用语义化版本的短版本，例如用:10或:10.3替代:10.3.0。这些标签会随新版本更新，效果类似:latest但固定在主版本或次版本，理论上不会引入破坏性变更。

如坚持使用最新版本，可使用:rolling标签，但需注意：这会即时获取应用的最新版本，无论是否存在破坏性变更或安全问题，风险自负！

镜像仓库

docker pull 11notes/sftp:10.3.0
docker pull ghcr.io/11notes/sftp:10.3.0
docker pull quay.io/11notes/sftp:10.3.0

Unraid版本

本镜像默认支持Unraid，只需在任何标签后添加-unraid，镜像将以99:100而非1000:1000权限运行。

Nobody版本

本镜像默认支持nobody用户，只需在任何标签后添加-nobody，镜像将以65534:65534而非1000:1000权限运行。

源码

• https://github.com/11notes/docker-sftp

基础镜像

• ${{ json_readme_parent_image }}

构建工具

• openssh
• https://github.com/11notes/docker-util

通用提示

• 使用反向代理（如Traefik、Nginx、HAproxy）终止TLS并保护端点
• 使用Let’s Encrypt DNS-01挑战获取服务的有效SSL证书

ElevenNotes™️

本镜像仅供参考，使用风险自负。更新镜像版本前请务必备份。查看https://github.com/11notes/docker-sftp/releases%E4%BA%86%E8%A7%A3%E7%A0%B4%E5%9D%8F%E6%80%A7%E5%8F%98%E6%9B%B4%E3%80%82%E5%A6%82%E4%BD%BF%E7%94%A8%E4%B8%AD%E9%81%87%E5%88%B0%E9%97%AE%E9%A2%98%EF%BC%8C%E8%AF%B7%E6%8F%90%E4%BA%A4https://github.com/11notes/docker-sftp/issues%E3%80%82%E5%A6%82%E6%9C%89%E7%96%91%E9%97%AE%E6%88%96%E5%BB%BA%E8%AE%AE%EF%BC%8C%E8%AF%B7%E5%88%9B%E5%BB%BAhttps://github.com/11notes/docker-sftp/discussions%E8%80%8C%E9%9D%9Eissue%E3%80%82%E6%88%91%E7%9A%84%E5%85%B6%E4%BB%96%E4%BB%93%E5%BA%93%E5%8F%AF%E5%9C%A8https://github.com/11notes?tab=repositories%E6%9F%A5%E7%9C%8B%E3%80%82

创建于 03.04.2026, 08:07:57 (CET)