为什么在使用WinSCP传输文件时，同样的账号密码，有人连接顺畅却仍被审计标记为高风险？因为SFTP协议本身只解决传输加密，真正决定安全性的是会话参数、认证方式和主机密钥管理。WinSCP支持SFTP、SCP、FTPS等多种安全协议，但旧站点配置可能仍然回退到明文FTP，密码保存位置也可能成为泄露点。本文从实际运维角度出发，系统说明如何调整这些设置，让WinSCP在满足安全基线要求的同时保持操作效率。
一、协议选择与基础安全参数
WinSCP新建站点时默认采用SFTP协议，但如果曾经导入过旧版站点配置，可能保留FTP或允许回退。FTP协议在网络上明文传输账号和文件内容，不应继续用于生产环境。登录窗口中选择“文件协议”下拉框时，应固定为SFTP或SCP，不要选择FTP。对于仅支持FTPS的服务器，则必须启用显式或隐式TLS，并在高级设置中关闭SSL 3.0和TLS 1.0、1.1，仅保留TLS 1.2及以上版本。
站点保存策略同样重要。WinSCP默认会询问是否保存密码，若勾选保存，凭据会以可逆加密方式写入注册表或INI文件，本地恶意脚本仍可能读取。更安全的做法是在“环境”选项中启用主密码，使保存的密码只有输入主密码后才能还原。管理员还可以通过组策略或配置模板禁用密码保存，强制每次会话输入密码或使用密钥。以下INI片段展示如何通过配置开启主密码和禁止保存密码：
[Configuration\Security] UseMasterPassword=1 DontSavePasswords=1
对于需要在多台服务器间切换的场景，建议为每个服务器建立独立站点，使用明确的会话名称，并关闭“传输设置”中的任何兼容性回退选项。基础参数中的端口号应固定为22，除非管理员明确修改了SSH端口。若使用非标准端口，需要在主机名后附加端口或使用sftp://host:port格式，避免与应用层代理混淆。
二、SSH密钥认证配置
密码认证虽然配置简单，但容易遭受暴力破解和钓鱼攻击。WinSCP完全支持基于SSH密钥的认证方式，并且与PuTTY的PPK格式兼容。推荐使用Ed25519或至少RSA 2048位密钥。Ed25519在同等安全强度下体积更小、验签速度更快，适合批量传输任务。生成密钥时可以使用Windows自带的ssh-keygen命令，也可以使用WinSCP附带的命令行工具。
生成密钥后，如果是使用OpenSSH格式的私钥，WinSCP通常可以直接加载；如果是PuTTYgen生成的PPK密钥，则不需要转换。需要注意权限设置：私钥文件只应授予当前Windows用户读取权限，其他用户不应有访问权。在站点设置的“高级”中，找到“SSH”下的“认证”部分，将“私钥文件”指向该PPK或OpenSSH私钥路径。配置完成后，可以勾选“允许代理转发”仅当确实需要跳板机场景时开启，平时应关闭代理转发，防止本地密钥被远程服务器利用。
ssh-keygen -t ed25519 -f C:\Users\admin\.ssh\id_ed25519 winscp.com /keygen "C:\Users\admin\.ssh\id_ed25519" /output "C:\Users\admin\.ssh\id_ed25519.ppk"
第一行在本地生成OpenSSH格式的Ed25519密钥对，第二行将私钥转换为WinSCP/PuTTY使用的PPK格式。转换命令中反斜杠路径必须保持原样，如果路径包含空格，需要用双引号包裹。完成转换后，将公钥追加到服务器用户的~/.ssh/authorized_keys文件中，并设置该文件权限为600。可以临时保留密码认证作为回退，但完成验证后应逐步移除密码登录，服务器端设置为仅公钥认证可进一步提高整体安全性。
三、主机密钥管理与中间人防护
SFTP和SCP的安全基础建立在SSH传输层上，而主机密钥是验证服务器身份的核心依据。第一次连接新服务器时，WinSCP会弹出主机密钥确认窗口，显示指纹。管理员不应盲目点击“是”，而应通过带外渠道核对指纹，例如从服务器控制台或运维平台查询SSH指纹。一旦确认，WinSCP会将其缓存到本地，后续连接会自动比对，若发生变化会立即告警。
在自动化脚本或命令行模式下，主机密钥提示会导致批处理任务中断。此时可以使用-hostkey参数明确指定期望的服务器指纹。指定后，如果实际主机密钥不匹配，WinSCP会拒绝连接并返回错误，从而阻止中间人攻击。脚本中常见的写法如下：
option batch on open sftp://user@ipipp.com -hostkey="ssh-ed25519 255 SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" put C:\data\*.csv /home/user/incoming/ close exit
上面的put命令将本地C:\data目录下所有CSV文件上传到服务器目录。主机密钥字符串必须完整，不要省略冒号后的哈希。管理员还可以在WinSCP图形界面中选中已保存的会话，点击“编辑”后查看“高级”设置中的主机密钥，将其复制到脚本中使用。批量部署时，可将正确的指纹预先写入配置文件，新机器第一次连接就处于受信状态，减少人工确认步骤。
四、自动化场景下的凭据保护与审计
很多企业会使用WinSCP的命令行版本配合任务计划程序执行夜间文件交换。脚本中若直接写明密码，会随脚本文件扩散而泄露。推荐的做法是使用Windows凭据管理器存储账号信息，或者在交互式会话中使用主密码保护。对于完全无人值守的任务，还可以采用密钥认证加上受限系统账户，使登录只能执行白名单命令。
PowerShell可以通过WinSCP .NET程序集实现更精细的控制，包括错误捕获和日志记录。下面示例不会在命令行中暴露密码，而是从预配置的站点中读取登录信息：
Add-Type -Path "C:\Program Files (x86)\WinSCP\WinSCPnet.dll"
$sessionOptions = New-Object WinSCP.SessionOptions -Property @{
Protocol = [WinSCP.Protocol]::Sftp
HostName = "ipipp.com"
UserName = "ftpuser"
SshPrivateKeyPath = "C:\Users\admin\.ssh\id_ed25519.ppk"
SshHostKeyFingerprint = "ssh-ed25519 255 SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
}
$session = New-Object WinSCP.Session
try {
$session.Open($sessionOptions)
$session.PutFiles("C:\data\*.zip", "/home/user/archive/").Check()
} finally {
$session.Dispose()
}
该脚本通过程序集对象传递参数，不会在进程列表或脚本日志中暴露密码。生产环境应同时开启WinSCP的会话日志功能，但日志级别调到“正常”即可，避免记录文件内容。日志文件中会包含传输路径和结果，便于安全审计。对于合规要求更高的组织，可以在任务完成后将日志同步到集中审计平台，并设置保留周期。
除了上述配置，运维人员还应定期检查WinSCP版本更新。历史版本存在过缓冲区溢出和SFTP路径穿越漏洞，保持客户端最新可以修复已知风险。所有安全传输策略都应形成文档，并在新员工入职或新增服务器时同步执行，避免因个人习惯不同而产生薄弱环节。