WebDAV（Shell）

WebDAV（Web Distributed Authoring and Versioning）是由 IETF 标准化的 HTTP 扩展协议，初版规范为 RFC 2518（1999 年），现行版本为 RFC 4918（2007 年）。协议在 HTTP/1.1 的方法集、头字段与状态码体系之上引入集合（collection）、属性（property）与锁（locking）三类模型，使 Web 服务器从单向的内容分发系统扩展为具备完整读写能力的分布式文档仓库。由于扩展严格保持与既有 HTTP 语义兼容，WebDAV 复用 80/443 端口及现有代理、CDN 基础设施即可部署，网络层面无需引入任何专用通道。本文先给出协议的系统性描述，随后在 Ubuntu 环境下以 Apache httpd 作为服务端实现，配合 curl、cadaver、davfs2、rclone 四个命令行工具，覆盖协议调试、交互式管理、文件系统挂载与自动化同步四类使用形态。

一、协议扩展机制与核心方法

HTTP/1.1 的原生方法仅覆盖资源获取与有限的状态变更，缺少目录层级语义、元数据查询与并发控制能力。WebDAV 在此基础上新增七个方法：MKCOL 创建集合，即目录节点；COPY 与 MOVE 实现资源复制与移动，目标 URI 通过 Destination 请求头传递，Overwrite 请求头（取值 T 或 F，默认 T）控制目标资源已存在时的覆盖行为，Overwrite 为 F 且目标存在时返回 412 Precondition Failed；PROPFIND 检索资源属性，Depth 请求头（0、1 或 infinity）控制遍历深度，是协议内使用频率最高的方法；PROPPATCH 修改属性；LOCK 与 UNLOCK 管理锁资源。方法集的设计目标是以最小扩展覆盖本地文件系统的基本操作语义。
全部扩展交互以 XML 作为编码载体。PROPFIND 的响应采用专用状态码 207 Multi-Status，响应体为 multistatus 文档，可在单次响应中承载目录树内多个资源的状态与属性，突破了 HTTP 一个响应对应单一资源的限制。WebDAV 相关的专用状态码还包括：422 Unprocessable Entity（请求体结构或语义非法）、423 Locked（目标资源处于锁定状态）、424 Failed Dependency（多状态请求中部分子操作失败）、507 Insufficient Storage（服务器存储耗尽）。对不存在的中间路径执行 MKCOL 将返回 409 Conflict，客户端需逐级创建。

二、属性模型与并发控制语义

属性分为活属性（live property）与死属性（dead property）。活属性由服务器强制维护并保证语义一致性，典型包括 creationdate、displayname、getcontentlength、getcontenttype、getetag、getlastmodified、resourcetype、supportedlock 与 lockdiscovery，客户端不可直接改写；死属性为客户端经 PROPPATCH 附加的任意名值对，服务器仅承担存储职责。PROPFIND 在不带请求体时按协议规定等同于 allprop，亦可通过请求体显式指定 allprop、propname 或具体属性名列表（prop），请求体根元素为 propfind，属于 DAV: 命名空间。

并发控制包含乐观与悲观两种路径。乐观路径依赖强 ETag 与条件请求头：客户端在 PUT 时携带 If-Match 前次读取的 ETag，服务器在资源版本不匹配时返回 412 并拒绝写入，构成比较并交换（CAS）语义。悲观路径由 LOCK 实现：锁类型分 write 独占锁与共享锁，锁令牌为 opaquelocktoken 形式的 URI，Timeout 请求头声明锁租期（如 Second-600），客户端通过携带 If 头的重复 LOCK 请求续租，UNLOCK 携带 Lock-Token 头释放资源；锁冲突时服务器返回 423 Locked。服务器在 OPTIONS 响应的 DAV 头中声明能力等级，1 表示支持基本 WebDAV，2 表示叠加锁支持，即 DAV: 1, 2。工程实践中部分服务端实现为规避锁管理的复杂度而未启用 2 级能力，客户端应据此降级。

# 查询服务器能力等级
curl -i -X OPTIONS http://10.0.0.5/dav/
# 响应头：DAV: 1, 2  Allow: OPTIONS, GET, HEAD, PUT, DELETE, PROPFIND, PROPPATCH, MKCOL, COPY, MOVE, LOCK, UNLOCK
 
# 对资源加 600 秒独占写锁
curl -u alice:pass -X LOCK -H "Timeout: Second-600" \
  --data '<?xml version="1.0"?><D:lockinfo xmlns:D="DAV:"><D:locktype><D:write/></D:locktype><D:lockscope><D:exclusive/></D:lockscope><D:owner>alice</D:owner></D:lockinfo>' \
  http://10.0.0.5/dav/docs/report.txt

在此协议族之上，IETF 继续构建了多层扩展：DeltaV（RFC 3253）引入版本控制方法集（VERSION-CONTROL、CHECKOUT、CHECKIN、REPORT 等），Subversion 的 HTTP 访问层即基于 DeltaV 实现（mod_dav_svn）；CalDAV（RFC 4791）将 iCalendar 日历对象建模为 WebDAV 资源并扩展查询语义；CardDAV（RFC 6352）对 vCard 通讯录做同等抽象。三者均以 RFC 4918 为基础层，这一继承关系是 WebDAV 长期存在于主流操作系统与协作软件中的结构性原因。

三、与 FTP、SMB、NFS 的技术对比及适用域

FTP 采用控制连接与数据连接分离的双通道模型，存在主动与被动两种数据建立模式，在 NAT 与防火墙环境中需要动态端口放行；协议自身不提供通道机密性，须叠加 TLS（FTPS）或经 SSH 隧道改造。WebDAV 的传输层与 HTTP 完全同构：单通道、无状态、认证复用 HTTP 认证框架（可插拔 Basic、Digest、客户端证书或应用层令牌），机密性由 TLS 统一提供，这是其在广域网与零信任环境中的结构性优势。
SMB 与 NFS 是面向局域网的会话型文件系统协议，具备打开句柄复用、字节范围锁与 oplock/委托等细粒度缓存一致性机制，吞吐与延迟特性显著优于 WebDAV。WebDAV 的每次操作均为独立 HTTP 请求，不存在会话与句柄复用，代价体现为海量小文件场景下的每请求固定开销与大目录枚举时的 multistatus 文档体积；变更检测依赖 getlastmodified 与 getetag，无校验和语义，断点续传不在协议规范之内，取决于客户端实现。因此 WebDAV 的适用域为文档同步、备份归档、跨网内容分发与轻量挂载，而非数据库文件、虚拟机镜像等高随机 I/O 负载，后者应使用块存储或网络文件系统。

四、服务端实现：Ubuntu 下的 Apache httpd mod_dav

Ubuntu 仓库中的 Apache httpd 由两个模块构成完整服务端：mod_dav 实现协议引擎，mod_dav_fs 作为文件系统后端提供资源仓库，二者通过 DAV provider 接口衔接。启用锁支持时必须有锁数据库，由 DavLockDB 指令指定；该指令必须位于服务器级配置而非 Directory 容器内，且锁数据库所在文件系统须支持 fcntl 锁，禁止置于 NFS 等网络文件系统之上。Debian/Ubuntu 的软件包已随 dav_fs 模块附带 /etc/apache2/mods-enabled/dav_fs.conf，其中配置了 DavLockDB /var/lock/apache2/DAVLock，无需重复定义。

sudo apt update && sudo apt install -y apache2
sudo a2enmod dav dav_fs auth_digest

资源仓库目录的权限模型需要明确：mod_dav 以 MPM 运行用户（Ubuntu 默认 www-data）执行全部文件系统写入，所有通过 WebDAV 认证的用户共享该 OS 级身份，文件属主同质化是该实现的固有约束。按用户隔离需划分独立 Directory 树并分别授权，或改用具备用户映射能力的服务端实现。

sudo mkdir -p /var/www/webdav
sudo chown -R www-data:www-data /var/www/webdav

认证选用 mod_auth_digest 提供的 HTTP Digest。口令文件由 htdigest 生成，存储格式为 user:realm:MD5(user:realm:password)，其中 realm 必须与配置中的 AuthName 严格一致，否则认证必然失败；-c 参数仅在首次创建口令文件时使用，追加用户时省略以免覆盖。

sudo htdigest -c /etc/apache2/webdav.passwd "WebDAV" alice

站点配置如下。Alias 建立 URL 命名空间与文件系统路径的映射；Dav On 在 Directory 容器内启用 WebDAV 处理；AuthDigestDomain 声明保护空间覆盖的 URI 范围；AuthDigestProvider file 指定凭据来源；Require valid-user 表示口令文件内全部用户均可通过认证。Apache 默认未限制请求体体积（LimitRequestBody 为 0），如有需要可在该容器内显式收紧。

Alias /dav /var/www/webdav
 
<Directory /var/www/webdav>
    Dav On
    AuthType Digest
    AuthName "WebDAV"
    AuthDigestDomain /dav
    AuthDigestProvider file
    AuthUserFile /etc/apache2/webdav.passwd
    Require valid-user
</Directory>

启用配置后执行 reload，httpd 以优雅重启（graceful）方式加载，不中断存量连接。验证序列如下：OPTIONS 响应头出现 DAV: 1, 2 确认协议与锁能力就绪；PROPFIND Depth 0 请求返回 207 及根集合属性；若服务面向公网，同步放行防火墙端口，并按第九节启用 TLS。

sudo a2enconf webdav
sudo systemctl reload apache2

curl -i -X OPTIONS http://127.0.0.1/dav/
curl -i -u alice:pass -X PROPFIND -H "Depth: 0" http://127.0.0.1/dav/
sudo ufw allow 80,443/tcp

五、协议级客户端操作：curl

WebDAV 即 HTTP，curl 可直接驱动全部协议方法，是调试与脚本化操作的基础工具。集合 URI 按惯例以斜杠结尾；PUT 对应上传（curl 的 -T 参数），GET 对应下载，MOVE 与 COPY 仅在是否保留源资源上存在语义差异。标准操作序列如下：

# 创建集合
curl -u alice:pass -X MKCOL http://10.0.0.5/dav/docs/
# 上传（PUT），成功返回 201 Created
curl -u alice:pass -T report.txt http://10.0.0.5/dav/docs/report.txt
# 枚举集合（PROPFIND Depth: 1），成功返回 207
curl -u alice:pass -X PROPFIND -H "Depth: 1" http://10.0.0.5/dav/docs/
# 下载（GET）
curl -u alice:pass -O http://10.0.0.5/dav/docs/report.txt
# 移动/重命名（MOVE），目标位于 Destination 头
curl -u alice:pass -X MOVE -H "Destination: http://10.0.0.5/dav/docs/2026-report.txt" http://10.0.0.5/dav/docs/report.txt
# 复制（COPY），目标存在且禁止覆盖时返回 412
curl -u alice:pass -X COPY -H "Overwrite: F" -H "Destination: http://10.0.0.5/dav/docs/report.bak.txt" http://10.0.0.5/dav/docs/report.txt
# 删除，成功返回 204 No Content
curl -u alice:pass -X DELETE http://10.0.0.5/dav/docs/report.bak.txt

生产脚本中应使用条件写入避免覆盖他人更新：先经 GET 或 PROPFIND 取得 getetag，再以 If-Match 头执行 PUT，服务器在 ETag 失配时返回 412。PROPFIND 亦可显式指定属性集合以减小响应体，请求体示例如下：

curl -u alice:pass -X PROPFIND -H "Depth: 1" -H "Content-Type: application/xml" \
  --data '<?xml version="1.0"?><D:propfind xmlns:D="DAV:"><D:prop><D:getcontentlength/><D:getlastmodified/></D:prop></D:propfind>' \
  http://10.0.0.5/dav/docs/
 
# 条件写入（CAS 语义）
curl -u alice:pass -T report.txt -H 'If-Match: "a1b2c3-4d5"' http://10.0.0.5/dav/docs/report.txt

六、交互式客户端：cadaver

cadaver 是基于 neon 库的命令行 WebDAV 客户端，交互模型与 FTP shell 同构，支持 TLS 与 2 级锁能力，适合运维现场的交互式排查。会话内可用命令覆盖完整协议面：ls、cd、pwd 操作远端目录，lcd、lpwd 切换本地工作目录，get、put 与 mget、mput 承担单文件与批量传输，mkcol、delete、copy、move 对应集合与资源的组织操作，quit 退出。凭据可通过 ~/.netrc 持久化，字段格式为 machine 主机、login 用户名、password 密码，文件权限必须设为 0600。

sudo apt install -y cadaver
cadaver http://10.0.0.5/dav/
 
# ~/.netrc 免密配置
machine 10.0.0.5
login alice
password pass

七、文件系统级集成：davfs2

davfs2 基于 FUSE 实现，将 WebDAV 资源呈现为 POSIX 文件系统视图，经 setuid 挂载助手 mount.davfs 执行挂载。本地缓存默认位于 /var/cache/davfs2，承担元数据与文件内容的缓存职责；凭据写入 /etc/davfs2/secrets，格式为“URL 用户名 密码”一行，权限 0600；持久化挂载经 fstab 声明，_netdev 保证网络就绪后执行，user 允许非特权用户挂载与卸载。

sudo apt install -y davfs2
sudo mkdir -p /mnt/webdav
sudo mount -t davfs http://10.0.0.5/dav/ /mnt/webdav
# /etc/davfs2/secrets
http://10.0.0.5/dav alice pass
 
# /etc/fstab
http://10.0.0.5/dav/ /mnt/webdav davfs rw,_netdev,user 0 0

davfs2 的缓存不具备多客户端一致性协议，多台主机并发挂载同一仓库并高强度写入将产生陈旧读与写冲突；服务器锁实现不严格时，可在 /etc/davfs2/davfs2.conf 中设置 use_locks 0 关闭锁机制以规避 423 问题，代价是失去写互斥保护。该实现定位于文档与备份类轻负载，高频随机 I/O 场景不在其设计目标之内。

八、rclone：同步与用户态挂载

rclone 将 WebDAV 实现为内置存储后端，配置参数包括 url、vendor（标准实现选 other，Nextcloud、owncloud、SharePoint 等有专门适配以兼容其行为差异）、user 与 pass，配置持久化于 ~/.config/rclone/rclone.conf。需要指出，WebDAV 后端不提供校验和能力，rclone 的变更判定依据 size 与 modtime；当服务器 modtime 不可靠时可改用 –size-only 比对策略。

sudo apt install -y rclone
rclone config
rclone listremotes
rclone lsd webdav:

copy 执行增量复制，sync 使目标与源严格一致（源端删除会传播到目标），两者均建议先以 –dry-run 预演；check 用于双向差异校验；–bwlimit 以令牌桶算法限速，–transfers 与 –checkers 控制并发度；需要保留历史版本时，–backup-dir 将被删除与被覆盖的文件移入归档目录而非直接丢弃。

rclone copy /home/alice/documents webdav:backup/documents -P
rclone sync /home/alice/documents webdav:backup/documents --dry-run -P
rclone sync /home/alice/documents webdav:backup/documents -P --bwlimit 10M --backup-dir webdav:archive/$(date +%F)

调度由 cron 承担。rclone 同时提供用户态挂载 rclone mount（依赖 FUSE），–vfs-cache-mode 取值 off、minimal、writes、full 逐级扩展缓存范围，writes 与 full 可保证写语义正确，–dir-cache-time 控制目录元数据缓存周期，行为较 davfs2 更接近同步盘。此外 rclone serve webdav 可将任意本地目录或 rclone 远端直接发布为 WebDAV 服务，支持 –user/–pass 认证与 –cert/–key 证书，是无依赖场景下的轻量服务端选项。

# crontab：每日 03:00 同步并记录日志
0 3 * * * /usr/bin/rclone sync /home/alice/documents webdav:backup/documents >> /var/log/rclone-webdav.log 2>&1
 
# 用户态挂载
rclone mount webdav: /mnt/cloud --daemon --vfs-cache-mode writes --dir-cache-time 60s
 
# 轻量服务端
rclone serve webdav /srv/dav --addr 0.0.0.0:8080 --user alice --pass pass

九、传输安全与认证方案选择

推荐基线为 TLS 加 Basic 认证。HTTP Digest 的默认摘要函数为 MD5（RFC 7616 引入 SHA-256 变体），质询-响应对一旦被捕获即可用于离线口令猜测，抗攻击强度显著弱于 TLS 通道加密；客户端兼容性方面，Windows WebClient 对 Digest 存在实现缺陷，macOS Finder 同样存在兼容性问题，而 Basic 在全平台客户端中一致性最好，在 TLS 保护下其安全性短板不再成立。Ubuntu 上经 certbot 签发 Let’s Encrypt 证书并可自动改写 Apache 配置与重定向规则，续期由 systemd timer 自动完成；建议叠加 HSTS 响应头强制 HTTPS。

sudo apt install -y certbot python3-certbot-apache
sudo certbot --apache -d dav.example.com

十、故障模式与定位

高频故障的根因分布如下。403 Forbidden 优先核查文件系统权限：www-data 对仓库目录需具备写权限，且路径各级目录须允许执行位（x）穿越；405 Method Not Allowed 通常源于 Dav On 未作用于请求所命中的 Directory，或模块未启用，应核对 Alias 映射与容器作用域；423 Locked 由未释放的锁残留引起，锁租期到期后自动失效，或重启 httpd 清空锁数据库；500 错误需检查 DavLockDB 配置及其所在文件系统是否支持 fcntl 锁；无限深度枚举被 Apache 默认的 DavDepthInfinity off 策略拒绝，属预期行为。客户端侧，Windows WebClient 存在单文件 50MB 上限与 Basic 认证通道限制，分别对应注册表项 WebClient\Parameters\FileSizeLimitInMB 与 BasicAuthLevel；nginx 自带的 ngx_http_dav_module 仅实现 PUT、DELETE、MKCOL、COPY、MOVE，PROPFIND 与 LOCK 依赖第三方 dav_ext 模块，工程上更常见的选择是容器化服务端（Nextcloud 等）或 rclone serve webdav。

综上，WebDAV 以七个方法、一个属性模型与一套锁机制的代价，将通用读写能力纳入 HTTP 体系，并在此基础上支撑了 DeltaV、CalDAV、CardDAV 等上层协议。Ubuntu 环境下，Apache mod_dav 提供成熟的服务端实现，curl 与 cadaver 覆盖协议级调试与交互式管理，davfs2 与 rclone 分别对应文件系统挂载与自动化同步两种消费形态；配合 TLS 与定时调度，即可在生产环境中构建稳定、可审计的网络存储链路。