置實(shí)戰(zhàn)：配置文件、Docker與命令行三種方法)
先問(wèn)一句有沒(méi)有人把 Redis 部署到公網(wǎng)或者測(cè)試機(jī)之后被提醒“你的 Redis 被別人連上了”然后你用redis-cli一敲發(fā)現(xiàn)里面真的多了不少奇奇怪怪的 key我見(jiàn)過(guò)不止一次起因基本都是同一件事——Redis 默認(rèn)不設(shè)密碼只要端口暴露出去誰(shuí)都能直接執(zhí)行FLUSHALL或者把你的數(shù)據(jù)當(dāng)臨時(shí)存儲(chǔ)用。所以今天的主題很簡(jiǎn)單怎么給 Redis 設(shè)置密碼。我按大家最常見(jiàn)的三種使用方式來(lái)拆解——第一是直接用redis.conf 配置文件做永久設(shè)置第二是Docker 容器部署時(shí)的幾種改密方式第三是命令行下既改臨時(shí)參數(shù)也做動(dòng)態(tài)修改。這三條路覆蓋了自建安裝、容器化部署、臨時(shí)調(diào)試三種真實(shí)工作場(chǎng)景看完你應(yīng)該能直接上手順帶把幾個(gè)常見(jiàn)的坑一起避開(kāi)。1. 先理解 Redis 的密碼機(jī)制再動(dòng)手改1.1 Redis 默認(rèn)的安全狀態(tài)Redis 在默認(rèn)配置下是不要求認(rèn)證的也就是說(shuō)只要客戶端能連上 6379 端口發(fā)送PING、GET、SET、FLUSHALL這些命令都會(huì)被直接執(zhí)行。本地開(kāi)發(fā)環(huán)境這樣用很順手因?yàn)槟銜?huì)下意識(shí)把它綁定在127.0.0.1上外部網(wǎng)絡(luò)根本連不進(jìn)來(lái)。問(wèn)題出在兩類(lèi)場(chǎng)景一是你用0.0.0.0去監(jiān)聽(tīng)所有網(wǎng)卡二是你把它放進(jìn)了 Docker 容器并映射了宿主機(jī)端口。這兩種情況下Redis 的服務(wù)端口就是暴露給整個(gè)網(wǎng)絡(luò)的等于你家大門(mén)敞開(kāi)門(mén)鎖是不存在的。Redis 官方其實(shí)提供了一個(gè)叫protected-mode的保護(hù)機(jī)制。默認(rèn)情況下它確實(shí)是yes但這個(gè)保護(hù)模式只有在“沒(méi)有顯式設(shè)置密碼、沒(méi)有綁定bind地址、沒(méi)有配置 ACL 用戶”時(shí)才生效。更麻煩的是它的保護(hù)邏輯是如果 Redis 只監(jiān)聽(tīng)在回環(huán)地址外部請(qǐng)求會(huì)被拒絕可一旦你手動(dòng)設(shè)置了bind 0.0.0.0或者讓容器端口映射到宿主機(jī)protected-mode的判斷就不那么靠譜了。所以指望默認(rèn)配置是不現(xiàn)實(shí)的最可靠的做法是設(shè)置一個(gè)強(qiáng)密碼并且讓所有客戶端統(tǒng)一走認(rèn)證。1.2 requirepass、AUTH、protected-mode 三者的關(guān)系requirepass是 Redis 配置文件里最核心的認(rèn)證參數(shù)它設(shè)置“全局密碼”。一旦設(shè)置Redis 會(huì)要求所有連接在真正執(zhí)行命令前先發(fā)送AUTH password。命令行參數(shù)--requirepass和運(yùn)行時(shí)命令CONFIG SET requirepass最終改的也是同一個(gè)全局配置項(xiàng)。protected-mode前面說(shuō)了是“保險(xiǎn)栓”。當(dāng)密碼沒(méi)設(shè)置時(shí)Redis 會(huì)拒絕來(lái)自非回環(huán)地址的連接。但只靠它會(huì)有誤傷也會(huì)帶來(lái)“以為安全了其實(shí)沒(méi)安全”的錯(cuò)覺(jué)所以應(yīng)該把requirepass當(dāng)成主要手段protected-mode保持不變作為第二道防線。還有一個(gè)新東西叫ACL 用戶體系從 Redis 6 開(kāi)始提供。ACL 可以給不同用戶設(shè)置不同權(quán)限r(nóng)equirepass本質(zhì)上只是創(chuàng)建了一個(gè)默認(rèn)用戶的認(rèn)證方式。對(duì)大多數(shù)中小項(xiàng)目來(lái)說(shuō)先用requirepass把門(mén)鎖上后續(xù)需要精細(xì)化權(quán)限再遷移到 AC L也不遲。1.3 動(dòng)手前先做三件準(zhǔn)備工作第一件確定密碼策略。不要用123456這種級(jí)別的密碼我建議至少 16 位包含大小寫(xiě)字母、數(shù)字、特殊字符而且不要和其他系統(tǒng)的口令重復(fù)。你想想 Redis 里可能緩存了什么多半是 session、計(jì)數(shù)、熱點(diǎn)數(shù)據(jù)有些甚至是業(yè)務(wù)表的一級(jí)緩存泄露出去不只是面子問(wèn)題。第二件確認(rèn)你手上有管理權(quán)限。如果是遠(yuǎn)程服務(wù)器上的 Redis你需要能改配置文件并且能重啟服務(wù)如果是 Docker 容器你需要能執(zhí)行docker exec或者能重新docker run一個(gè)新的容器。否則你只能讓運(yùn)維協(xié)助操作。第三件備份。改配置文件之前先把redis.conf復(fù)制一份例如cp redis.conf redis.conf.bak。如果你用的是云廠商的托管 Redis那還要先搞清楚服務(wù)面板里有沒(méi)有“重置密碼”入口有的話優(yōu)先用客戶端提供的安全能力而不是直接改機(jī)器上的配置因?yàn)橥泄軐?shí)例很多配置是被云平臺(tái)鎖定的。2. 場(chǎng)景一配置文件方式設(shè)置 Redis 密碼2.1 找到 node_modules 都在哪個(gè)路徑不同安裝方式的 Redis配置文件位置差別很大。我列幾個(gè)常見(jiàn)位置幫你快速定位安裝方式常見(jiàn)路徑Ubuntu / Debian apt 安裝/etc/redis/redis.confCentOS / RHEL yum 安裝/etc/redis.conf或/etc/redis/redis.conf源碼編譯安裝你執(zhí)行./configure --prefixxxx時(shí)指定的目錄下通常是源碼目錄里的redis.conf安裝后可能在/usr/local/redis/etc/redis.confWindows 安裝包安裝目錄下的redis.windows.confMac 上用 Homebrew 安裝/usr/local/etc/redis.conf或/opt/homebrew/etc/redis.conf如果實(shí)在找不到可以用redis-server --version看版本信息然后用ps -ef | grep redis查看啟動(dòng)命令啟動(dòng)命令里往往帶redis-server /path/to/redis.conf這類(lèi)路徑。再不行就find / -name redis.conf 2/dev/null雖然慢一點(diǎn)但能找到。2.2 修改 redis.conf 中的 requirepass以最常見(jiàn)的/etc/redis/redis.conf為例。先用編輯器打開(kāi)比如vim /etc/redis/redis.conf然后找到這一行# requirepass foobared注意#注釋。默認(rèn)配置里requirepass是被注釋掉的表示“不設(shè)密碼”。你需要把注釋去掉改成自己的密碼requirepass YourStrongPassw0rd!2024改完之后保存退出。這里有兩個(gè)小細(xì)節(jié)要留意。第一requirepass后面是明文的這意味著凡是能讀到配置文件的人都會(huì)看到密碼。所以在團(tuán)隊(duì)環(huán)境里要注意這個(gè)文件本身的權(quán)限比如chmod 640 /etc/redis/redis.conf。第二配置文件里如果同時(shí)存在多個(gè)requirepassRedis 只認(rèn)最后一個(gè)所以別指望用“多個(gè)密碼并存”的方式來(lái)做輪換舊版本那是行不通的要做密碼輪換就用 ACL 多用戶。2.3 重啟 Redis 并驗(yàn)證密碼是否生效改完配置文件必須重啟 Redis 才能生效因?yàn)榕渲梦募辉趩?dòng)時(shí)加載。不同系統(tǒng)的重啟命令不一樣systemctl restart redis適用于大多數(shù) Linux 發(fā)行版服務(wù)化安裝。service redis-server restart適用于 SysV init 管理的老環(huán)境。如果你是直接前臺(tái)起的那就CtrlC停掉再用同樣命令啟動(dòng)。重啟之后驗(yàn)證是非常關(guān)鍵的一步不然你根本不知道密碼是否真的生效。最簡(jiǎn)單的驗(yàn)證動(dòng)作是執(zhí)行redis-cli ping如果密碼生效你會(huì)看到(error) NOAUTH Authentication required.出現(xiàn)這個(gè)報(bào)錯(cuò)就說(shuō)明密碼已經(jīng)擋在最前面了。緊接著用密碼認(rèn)證redis-cli -a YourStrongPassw0rd!2024 ping看到PONG就說(shuō)明認(rèn)證成功。這里有個(gè)提示-a參數(shù)會(huì)把密碼留在 shell 歷史記錄里所以正式環(huán)境推薦用redis-cli進(jìn)入交互模式后輸入AUTH或者臨時(shí)設(shè)置REDISCLI_AUTH環(huán)境變量來(lái)完成驗(yàn)證。2.4 配置文件方式的三個(gè)注意點(diǎn)注意點(diǎn)一是不要把密碼寫(xiě)在命令行參數(shù)里然后寫(xiě)進(jìn) systemd service 文件因?yàn)?systemd 里用ExecStart啟動(dòng) Redis 時(shí)命令行參數(shù)會(huì)暴露給所有能執(zhí)行ps的用戶。正確的做法是讓 systemd 通過(guò)-c /etc/redis/redis.conf指向配置文件密碼只存在于redis.conf中。注意點(diǎn)二是改完配置后先做一次redis-cli -a 密碼 config get requirepass驗(yàn)證CONFIG GET返回的是一個(gè)數(shù)組一般樣子是1) requirepass 2) YourStrongPassw0rd!2024如果返回值是空那就是你改錯(cuò)文件了Redis 實(shí)際讀取的是另一份配置。注意點(diǎn)三是最容易被忽略的配置文件方式適合永久生效但不適合頻繁換密碼。你一改配置文件就要重啟而重啟意味著短暫斷連緩存雪崩風(fēng)險(xiǎn)也會(huì)升高。所以線上環(huán)境如果突然需要緊急換密碼我一般先用后面要講的命令行方式動(dòng)態(tài)切換等到業(yè)務(wù)低峰期再改配置文件做持久化。3. 場(chǎng)景二Docker 容器中設(shè)置 Redis 密碼3.1 Docker 環(huán)境下的三種改密思路Docker 里跑 Redis 和本機(jī)跑 Redis 有個(gè)本質(zhì)區(qū)別容器的文件系統(tǒng)是臨時(shí)層你在容器里改的東西容器一刪就全沒(méi)了。所以“在容器里用vim改 redis.conf” 這種操作雖然能生效但是非常不可靠?？孔V的思路有三種啟動(dòng)容器時(shí)直接通過(guò)命令行參數(shù)--requirepass設(shè)置掛載一份自定義配置文件到容器內(nèi)或者在docker-compose.yml里編排好配置。下面逐個(gè)說(shuō)。3.2 方式 A使用 docker run 啟動(dòng)參數(shù)直接指定密碼大多數(shù)官方 Redis 鏡像默認(rèn)會(huì)執(zhí)行redis-server所以你可以直接給它傳參數(shù)。先看一條真實(shí)可用的啟動(dòng)命令docker run -d \ --name redis-pass \ -p 6379:6379 \ redis:7 \ redis-server --requirepass YourStrongPassw0rd!2024 --appendonly yes這條命令的意思是用redis:7鏡像啟動(dòng)一個(gè)叫redis-pass的容器把宿主機(jī) 6379 映射到容器 6379然后在啟動(dòng) Redis 服務(wù)時(shí)追加兩個(gè)配置參數(shù)一個(gè)是密碼一個(gè)是開(kāi)啟 AOF 持久化。驗(yàn)證方式同樣很簡(jiǎn)單docker exec -it redis-pass redis-cli -a YourStrongPassw0rd!2024 ping看到PONG就正常。如果你這時(shí)候進(jìn)入容器內(nèi)部用redis-cli ping會(huì)得到NOAUTH報(bào)錯(cuò)因?yàn)閐ocker exec進(jìn)去默認(rèn)就在 Redis 容器里執(zhí)行redis-cli不會(huì)自動(dòng)帶密碼。這個(gè)方式的優(yōu)點(diǎn)是干凈、直接、不用準(zhǔn)備配置文件。缺點(diǎn)是密碼會(huì)出現(xiàn)在docker run的命令行里如果你用 shell history 保存了這條命令別人history一下就能看到。所以本地測(cè)試可以用但正式環(huán)境建議用下面的掛載配置文件方式或者把密碼放到 Docker Secret 這種專門(mén)機(jī)制里。3.3 方式 B把自定義 redis.conf 掛載進(jìn)容器這是我自己在生成環(huán)境最常采用的方式因?yàn)榕渲玫目删S護(hù)性更強(qiáng)。步驟分三步。第一步在宿主機(jī)上準(zhǔn)備一份redis.conf。你可以從官方鏡像里拷貝一份模板也可以自己寫(xiě)一個(gè)最小配置。例如我在宿主機(jī)/opt/redis/config/redis.conf里寫(xiě)了bind 0.0.0.0 protected-mode yes port 6379 requirepass YourStrongPassw0rd!2024 appendonly yes appendfilename appendonly.aof第二步用掛載參數(shù)啟動(dòng)容器docker run -d \ --name redis-pass-file \ -p 6379:6379 \ -v /opt/redis/config/redis.conf:/usr/local/etc/redis/redis.conf \ redis:7 \ redis-server /usr/local/etc/redis/redis.conf這里的重點(diǎn)是把宿主機(jī)上的/opt/redis/config/redis.conf掛載到容器里的/usr/local/etc/redis/redis.conf然后啟動(dòng)命令要顯式指定讓 Redis 使用這個(gè)配置文件。如果不指定官方鏡像默認(rèn)啟動(dòng)時(shí)可能用的是源碼編譯目錄里的默認(rèn)配置掛載進(jìn)去也不會(huì)被讀取。第三步驗(yàn)證docker exec redis-pass-file redis-cli -a YourStrongPassw0rd!2024 ping這個(gè)方式的好處非常明顯所有配置項(xiàng)都在宿主機(jī)的一個(gè)文件里后續(xù)要調(diào)整maxmemory、持久化策略、密碼等只需要改宿主機(jī)的redis.conf再重啟容器就行。而且這個(gè)配置文件還能直接用 Git 管理整個(gè) Redis 的運(yùn)行時(shí)配置都有了版本記錄。3.4 方式 Cdocker-compose 編排配置文件如果你用 Docker Compose 來(lái)管理一堆服務(wù)那 Redis 的密碼配置應(yīng)該寫(xiě)進(jìn)docker-compose.yml里。我給出一個(gè)可以直接套用的示例services: redis: image: redis:7 container_name: redis-compose-pass restart: always ports: - 6379:6379 volumes: - /opt/redis/config/redis.conf:/usr/local/etc/redis/redis.conf - /opt/redis/data:/data command: [redis-server, /usr/local/etc/redis/redis.conf]啟動(dòng)命令docker compose up -d然后驗(yàn)證docker compose exec redis redis-cli -a YourStrongPassw0rd!2024 pingCompose 方式最大優(yōu)勢(shì)是配置聲明式、可復(fù)制新環(huán)境只要把這份 YAML 和 redis.conf 拿過(guò)去docker compose up -d就能得到一模一樣的容器。3.5 容器場(chǎng)景的避坑細(xì)節(jié)這里我必須多說(shuō)幾句都是踩過(guò)的坑。第一個(gè)是掛載文件的權(quán)限問(wèn)題。宿主機(jī)上掛載進(jìn)容器的redis.conf文件如果權(quán)限設(shè)置成777部分 Redis 鏡像可能會(huì)拒絕執(zhí)行。規(guī)范做法是chmod 644保證 Redis 進(jìn)程用戶有讀取權(quán)限而不是直接給最高權(quán)限。第二個(gè)是CONFIG REWRITE和容器配置文件的矛盾。假設(shè)你在容器里用redis-cli config set requirepass xxx改了密碼再執(zhí)行config rewrite這時(shí) Redis 會(huì)嘗試把當(dāng)前配置寫(xiě)回它啟動(dòng)時(shí)讀取的配置文件。如果這個(gè)文件是被掛載進(jìn)容器的重寫(xiě)會(huì)成功但它如果屬于容器內(nèi)部文件系統(tǒng)容器一刪就全丟。更尷尬的是如果掛載文件是只讀的config rewrite還會(huì)直接報(bào)錯(cuò)。所以容器場(chǎng)景下的正確姿勢(shì)是在宿主機(jī)上改redis.conf再重啟容器。第三個(gè)是日志排查技巧。如果容器啟動(dòng)異常不要只盯著docker logs的簡(jiǎn)短輸出很多 Redis 配置錯(cuò)誤會(huì)出現(xiàn)在最后幾行。比如我遇到過(guò)容器直接退出docker logs輸出里明確寫(xiě)了# Warning: couldnt set memory limit # Cant open the log file: Permission denied這多半是掛載文件或數(shù)據(jù)目錄的權(quán)限問(wèn)題。調(diào)整目錄歸屬chown -R redis:redis /opt/redis/data后就能解決。第四個(gè)是關(guān)于端口沖突。如果宿主機(jī) 6379 已經(jīng)被本機(jī) Redis 占用了Docker 啟動(dòng)時(shí)會(huì)報(bào)bind: address already in use。這種時(shí)候要么關(guān)掉本機(jī) Redis要么把宿主機(jī)端口改成16379再映射比如-p 16379:6379。4. 場(chǎng)景三命令行方式設(shè)置 Redis 密碼4.1 啟動(dòng)時(shí)通過(guò)命令行參數(shù)指定密碼啟動(dòng) Redis 時(shí)可以直接通過(guò)--requirepass傳參這個(gè)方式在臨時(shí)測(cè)試和調(diào)試時(shí)最常用?？词纠齬edis-server --port 6380 --requirepass TmpPassw0rd!888 --protected-mode yes這條命令會(huì)在 6380 端口啟動(dòng)一個(gè) Redis 實(shí)例并且設(shè)置密碼為T(mén)mpPassw0rd!888。啟動(dòng)時(shí)加--protected-mode yes是為了避免“設(shè)置了密碼但保護(hù)模式關(guān)閉”的不穩(wěn)定狀態(tài)。驗(yàn)證這一步redis-cli -p 6380 -a TmpPassw0rd!888 ping這種方式適合本地多實(shí)例測(cè)試比如你想在 6380、6381、6382 上分別起三個(gè)不同配置的 Redis用命令行參數(shù)最省事不用準(zhǔn)備三份配置文件。但它也有致命缺陷密碼一旦以參數(shù)形式出現(xiàn)在進(jìn)程啟動(dòng)信息里你就能通過(guò)ps -ef看到明文所以只適合臨時(shí)調(diào)試用來(lái)做生產(chǎn)環(huán)境是不可取的。如果你用redis-server /usr/local/etc/redis/redis.conf --requirepass optimizePassword這種混合方式要注意命令行參數(shù)的優(yōu)先級(jí)高于配置文件。也就是說(shuō)如果配置文件和命令行參數(shù)都寫(xiě)了密碼以命令行參數(shù)為準(zhǔn)。這個(gè)特性在臨時(shí)覆蓋配置時(shí)很有用但也會(huì)迷惑人我曾經(jīng)遇到過(guò)有人改了配置文件卻沒(méi)生效就是因?yàn)?service 啟動(dòng)腳本里殘留了舊的命令參數(shù)。4.2 運(yùn)行中動(dòng)態(tài)修改密碼CONFIG SET這是不需要重啟服務(wù)就能改密碼的方法也是線上應(yīng)急改密的首選。先連接到 Redisredis-cli然后執(zhí)行CONFIG SET requirepass NewPassword-2024執(zhí)行成功后Redis 會(huì)立刻啟用新密碼。這里有個(gè)非常關(guān)鍵的點(diǎn)當(dāng)你把requirepass設(shè)置為一個(gè)新密碼時(shí)當(dāng)前連接不會(huì)斷開(kāi)其他連接則會(huì)丟到認(rèn)證區(qū)需要重新AUTH。你自己這個(gè)連接是“以前密碼連接進(jìn)來(lái)的”但它不會(huì)因?yàn)槟愀牧嗣艽a就被踢掉因?yàn)?Redis 只認(rèn)證“連接建立后第一條命令”而且CONFIG SET本身就是特殊命令已驗(yàn)證過(guò)的連接保持可用。如果你把密碼設(shè)成空字符串CONFIG SET requirepass 就相當(dāng)于去掉密碼立刻恢復(fù)無(wú)認(rèn)證狀態(tài)。這個(gè)操作非常危險(xiǎn)但偶爾會(huì)用在調(diào)試和自動(dòng)化環(huán)境里生產(chǎn)環(huán)境千萬(wàn)別這么干。4.3 持久化密碼CONFIG REWRITE 的作用CONFIG SET只改內(nèi)存中的配置重啟后就沒(méi)了。要想把修改寫(xiě)入配置文件必須執(zhí)行CONFIG REWRITECONFIG REWRITE會(huì)把當(dāng)前 Redis 配置和它啟動(dòng)時(shí)讀取的配置文件進(jìn)行合并把內(nèi)存中的變更寫(xiě)回文件。如果 Redis 啟動(dòng)時(shí)沒(méi)有指定配置文件也就是純命令行參數(shù)的臨時(shí)實(shí)例執(zhí)行CONFIG REWRITE會(huì)報(bào)錯(cuò)(error) ERR The server is running without a config file所以在生產(chǎn)環(huán)境我一般這么做先用CONFIG SET requirepass臨時(shí)降低風(fēng)險(xiǎn)比如在漏報(bào)告警時(shí)快速加密碼。業(yè)務(wù)低峰期執(zhí)行CONFIG REWRITE讓配置持久化。再準(zhǔn)備一個(gè)快速重啟窗口確認(rèn)配置文件里的requirepass已經(jīng)出現(xiàn)。CFG REWRITE 還有一個(gè)坑它不會(huì)完整保留配置文件里的所有注釋和排版因?yàn)樗鼤?huì)按 Redis 自身的內(nèi)存配置重新生成文件內(nèi)容。所以一個(gè)寫(xiě)滿精美中文注釋的配置文件執(zhí)行一次 rewrite 之后注釋可能就少了一半。我的建議是配置文件還是要通過(guò) Git 管理生成好的redis.conf是基礎(chǔ)設(shè)施的一部分不要依賴運(yùn)行時(shí) rewrite 來(lái)維護(hù)。4.4 命令行驗(yàn)證密碼的正確姿勢(shì)最后說(shuō)說(shuō)怎么用命令行驗(yàn)證密碼。最常規(guī)的命令redis-cli -a YourPassword ping輸出為PONG第二招是進(jìn)入交互模式后用AUTHredis-cli 127.0.0.1:6379 AUTH YourPassword OK 127.0.0.1:6379 PING PONG第三招是不用-a參數(shù)用環(huán)境變量export REDISCLI_AUTHYourPassword redis-cli ping這樣也能自動(dòng)認(rèn)證并且密碼不會(huì)出現(xiàn)在ps -ef的進(jìn)程參數(shù)列表中。這個(gè)方法我在批量執(zhí)行腳本時(shí)經(jīng)常用。需要提醒的是-a參數(shù)如果密碼有特殊字符比如!、$、shell 可能會(huì)做變量展開(kāi)建議用單引號(hào)把密碼括住或者用--raw再手動(dòng)控制輸出。5. 三種方式對(duì)比與高頻排障5.1 三種設(shè)置方式對(duì)比設(shè)置方式生效方式持久性適合場(chǎng)景風(fēng)險(xiǎn)點(diǎn)配置文件修改重啟 Redis永久生產(chǎn)環(huán)境正式部署需要重啟有短暫中斷Docker 掛載配置文件重啟容器永久容器化生產(chǎn)環(huán)境掛載權(quán)限、路徑易錯(cuò)docker run 帶參重啟容器容器生命周期內(nèi)臨時(shí)測(cè)試、快速驗(yàn)證密碼會(huì)出現(xiàn)在命令行命令行 CONFIG SET立即生效不持久需 REWRITE線上臨時(shí)改密忘寫(xiě) rewrite 則重啟失效redis-server 啟動(dòng)參數(shù)啟動(dòng)時(shí)進(jìn)程運(yùn)行期間本地多實(shí)例調(diào)試密碼在進(jìn)程參數(shù)中可見(jiàn)我給你的實(shí)用建議是開(kāi)發(fā)環(huán)境用命令行參數(shù)測(cè)試環(huán)境用 docker 掛載生產(chǎn)環(huán)境要么用真機(jī)配置文件、要么用 Docker 掛載配置文件。核心原則只有一個(gè)——不要讓密碼出現(xiàn)在能被人輕松看到的地方。5.2 常見(jiàn)報(bào)錯(cuò)與排查手冊(cè)先列一個(gè)快速排查表報(bào)錯(cuò) / 現(xiàn)象可能原因解決辦法(error) NOAUTH Authentication required.認(rèn)證未通過(guò)或還沒(méi)發(fā) AUTH用redis-cli -a 密碼或在連接后先執(zhí)行 AUTH(error) ERR Client sent AUTH, but no password is set.正打算發(fā) AUTH但 Redis 沒(méi)配置密碼檢查CONFIG GET requirepass為空說(shuō)明沒(méi)設(shè)密碼(error) WRONGPASS invalid username-password pair密碼輸錯(cuò)了重新確認(rèn)密碼注意特殊字符轉(zhuǎn)義docker: Error response from daemon: Conflict.容器名沖突換個(gè)容器名或docker rm舊容器Cannot connect to the Docker daemondocker 服務(wù)未啟動(dòng)或無(wú)權(quán)限systemctl start docker或檢查用戶組容器啟動(dòng)后立即退出配置文件路徑錯(cuò)誤或數(shù)據(jù)目錄權(quán)限不對(duì)看docker logs 容器名最后的錯(cuò)誤信息(error) ERR Unsupported CONFIG parameter: requirepass你連的可能不是 Redis或者版本極老確認(rèn)端口和客戶端類(lèi)型MISCONF Redis is configured to save RDB snapshotsCONFIG SET后持久化寫(xiě)入異常檢查磁盤(pán)權(quán)限和dir配置這里重點(diǎn)說(shuō)一下NOAUTH的排查思路。你看到NOAUTH不要立刻懷疑密碼錯(cuò)了先確認(rèn) Redis 是否真的設(shè)置了密碼redis-cli -a 原密碼 CONFIG GET requirepass或者當(dāng)你知道密碼但想試探時(shí)redis-cli CONFIG GET requirepass如果返回的是空數(shù)組說(shuō)明 Redis 當(dāng)前是沒(méi)有密碼的如果返回的是1) requirepass 2) 密碼那說(shuō)明有密碼你需要在連接時(shí)帶上。排查容器端口的報(bào)錯(cuò)也要注意順序。先用docker ps看容器狀態(tài)是否Up再用docker logs看啟動(dòng)日志最后再?zèng)Q定是檢查配置文件還是數(shù)據(jù)目錄權(quán)限。順序亂了容易白忙活。5.3 設(shè)置密碼后對(duì)主從復(fù)制、客戶端和工具鏈的影響設(shè)置密碼這件事最容易被忽視的是“連鎖影響”。我舉三個(gè)真實(shí)場(chǎng)景。場(chǎng)景一主從復(fù)制。如果你有一個(gè) Redis 主實(shí)例和若干個(gè)從實(shí)例給主實(shí)例設(shè)置密碼后從實(shí)例必須配置masterauth否則從節(jié)點(diǎn)連不上主節(jié)點(diǎn)。從節(jié)點(diǎn)的配置里可以加masterauth YourMasterPasswordmasterauth要填寫(xiě)的是主實(shí)例的requirepass密碼。如果你用的是 Redis 6 的 ACL那么還需要對(duì)應(yīng)主實(shí)例 master 用戶權(quán)限。這個(gè)坑非常常見(jiàn)我見(jiàn)過(guò)有人給主庫(kù)加了強(qiáng)密碼結(jié)果從庫(kù)同步中斷了半天才發(fā)現(xiàn)。場(chǎng)景二客戶端連接。你的業(yè)務(wù)代碼里所有連接 Redis 的地方都要帶上密碼。以 Java 的 Lettuce 為例需要在RedisClient配置里設(shè)置 password以 Go 的 go-redis 為例需要在Options里寫(xiě)Password字段。如果服務(wù)端已經(jīng)設(shè)密碼而客戶端沒(méi)跟上你會(huì)看到大量ERR Client sent AUTH, but no password is set或者NOAUTH錯(cuò)誤業(yè)務(wù)日志瞬間被刷屏。場(chǎng)景三可視化工具。像 Redis Desktop Manager、Another Redis Desktop Manager、Redis Insight 這類(lèi) GUI 工具連接時(shí)需要填寫(xiě)密碼字段。更多人忽略的是連接地址里的認(rèn)證方式比如某些老版本工具默認(rèn)是NoAuth你填了密碼也未必能在連接前認(rèn)證反而需要手動(dòng)設(shè)置“使用密碼認(rèn)證”。5.4 進(jìn)階用 ACL 用戶替代全局 requirepass如果你只有一個(gè)密碼控制全局讀寫(xiě)一旦密碼泄露攻擊者能執(zhí)行FLUSHALL把數(shù)據(jù)清空。Redis 6 之后的 ACL 可以把風(fēng)險(xiǎn)拆細(xì)。我簡(jiǎn)單舉個(gè)例子。在redis-cli里創(chuàng)建兩個(gè)用戶ACL SETUSER app_user on AppUserPassword!123 ~* all -dangerous ACL SETUSER admin_user on AdminPassword!456 ~* all第一行創(chuàng)建了app_user只能操作普通鍵空間但禁止執(zhí)行危險(xiǎn)命令組比如FLUSHALL、SHUTDOWN、KEYS等。第二行創(chuàng)建了admin_user擁有全部權(quán)限。實(shí)際使用時(shí)業(yè)務(wù)連接用app_user運(yùn)維排查用admin_user密碼各自獨(dú)立即使業(yè)務(wù)側(cè)密碼泄露也不能清空數(shù)據(jù)。ACL 的設(shè)置同樣可以寫(xiě)進(jìn)redis.confuser default on nopass ~* all user app_user on AppUserPassword!123 ~* all -dangerous user admin_user on AdminPassword!456 ~* all從長(zhǎng)期維護(hù)角度看ACL 比單一requirepass更優(yōu)雅也更安全。但前提是你得規(guī)劃好用戶權(quán)限矩陣否則前期遷移成本不小。對(duì)個(gè)人項(xiàng)目和小團(tuán)隊(duì)先用好requirepass守住底線等真有多個(gè)客戶端、多角色需求時(shí)再升級(jí)到 ACL。6. 最后再聊幾個(gè)我踩過(guò)的細(xì)節(jié)坑給 Redis 設(shè)置密碼這件事說(shuō)起來(lái)就是改一行配置的事但真正放到生產(chǎn)上是有一堆細(xì)節(jié)的。最后分享幾條能幫你少走彎路的心得。第一設(shè)置完密碼一定要在第二臺(tái)機(jī)器上測(cè)一下外網(wǎng)連接。我見(jiàn)過(guò)有人只在服務(wù)器本機(jī)用redis-cli驗(yàn)證通過(guò)結(jié)果從辦公網(wǎng)連過(guò)去還是報(bào)NOAUTH原因是他本機(jī) redis-cli 用了默認(rèn)端口 6379但服務(wù)器實(shí)際監(jiān)聽(tīng)的是另一個(gè)端口。驗(yàn)證命令里一定要帶上-h 服務(wù)器IP -p 端口。第二動(dòng)態(tài)改密時(shí)優(yōu)先改代碼再改 Redis。線上環(huán)境如果必須換密碼不要先動(dòng) Redis 再改業(yè)務(wù)配置那會(huì)造成一段時(shí)間內(nèi)所有業(yè)務(wù)請(qǐng)求全部報(bào)錯(cuò)。正確順序是先把客戶端連接信息改成新密碼然后灰度發(fā)布最后再執(zhí)行CONFIG SET requirepass切換服務(wù)端。如果客戶端配置已經(jīng)全部更新但 Redis 還沒(méi)換舊密碼仍然有效業(yè)務(wù)不會(huì)中斷。第三不要把密碼和 Redis 放在同一個(gè)配置文件里提交到公開(kāi)倉(cāng)庫(kù)。即使你的redis.conf寫(xiě)得再規(guī)范一旦推送到公開(kāi) GitHub密碼就已經(jīng)泄露?，F(xiàn)在很多項(xiàng)目會(huì)用到.gitignore過(guò)濾配置文件模板或者用環(huán)境變量${REDIS_PASSWORD}占位再由部署系統(tǒng)注入真實(shí)值這才是更穩(wěn)的做法。第四如果你用的是云廠商提供的 Redis 實(shí)例千萬(wàn)不要嘗試在控制臺(tái)外去手動(dòng)改配置文件。托管實(shí)例的配置入口通常在控制臺(tái)的“參數(shù)組”或“安全設(shè)置”里。手動(dòng)連接到服務(wù)器內(nèi)部去改大概率改變不了實(shí)際生效配置還容易把實(shí)例搞到不可用。這個(gè)結(jié)論我反復(fù)驗(yàn)證過(guò)云上資源就按云上的玩法來(lái)。最后再補(bǔ)充一個(gè)小技巧無(wú)論用了哪種方式設(shè)置密碼都應(yīng)該在客戶端的工具腳本里加一個(gè)快速自檢。比如我習(xí)慣在部署腳本里加一行redis-cli -h $REDIS_HOST -p $REDIS_PORT -a $REDIS_PASSWORD ping /dev/null 21 echo Redis auth OK別小看這一行它能讓你在代碼上線前第一時(shí)間發(fā)現(xiàn)問(wèn)題而不是等業(yè)務(wù)跑起來(lái)之后被超時(shí)和報(bào)錯(cuò)淹沒(méi)。畢竟 Redis 的密碼設(shè)置不是“設(shè)完就結(jié)束”的事后面跟著的是客戶端、主從、監(jiān)控、工具鏈的一整套聯(lián)動(dòng)。把每個(gè)環(huán)節(jié)都打通這個(gè)密碼才算真正設(shè)置成功了。 Redis密碼設(shè)置實(shí)戰(zhàn)：配置文件、Docker與命令行三種方法
先問(wèn)一句有沒(méi)有人把 Redis 部署到公網(wǎng)或者測(cè)試機(jī)之后被提醒“你的 Redis 被別人連上了”然后你用redis-cli一敲發(fā)現(xiàn)里面真的多了不少奇奇怪怪的 key我見(jiàn)過(guò)不止一次起因基本都是同一件事——Redis 默認(rèn)不設(shè)密碼只要端口暴露出去誰(shuí)都能直接執(zhí)行FLUSHALL或者把你的數(shù)據(jù)當(dāng)臨時(shí)存儲(chǔ)用。所以今天的主題很簡(jiǎn)單怎么給 Redis 設(shè)置密碼。我按大家最常見(jiàn)的三種使用方式來(lái)拆解——第一是直接用redis.conf 配置文件做永久設(shè)置第二是Docker 容器部署時(shí)的幾種改密方式第三是命令行下既改臨時(shí)參數(shù)也做動(dòng)態(tài)修改。這三條路覆蓋了自建安裝、容器化部署、臨時(shí)調(diào)試三種真實(shí)工作場(chǎng)景看完你應(yīng)該能直接上手順帶把幾個(gè)常見(jiàn)的坑一起避開(kāi)。1. 先理解 Redis 的密碼機(jī)制再動(dòng)手改1.1 Redis 默認(rèn)的安全狀態(tài)Redis 在默認(rèn)配置下是不要求認(rèn)證的也就是說(shuō)只要客戶端能連上 6379 端口發(fā)送PING、GET、SET、FLUSHALL這些命令都會(huì)被直接執(zhí)行。本地開(kāi)發(fā)環(huán)境這樣用很順手因?yàn)槟銜?huì)下意識(shí)把它綁定在127.0.0.1上外部網(wǎng)絡(luò)根本連不進(jìn)來(lái)。問(wèn)題出在兩類(lèi)場(chǎng)景一是你用0.0.0.0去監(jiān)聽(tīng)所有網(wǎng)卡二是你把它放進(jìn)了 Docker 容器并映射了宿主機(jī)端口。這兩種情況下Redis 的服務(wù)端口就是暴露給整個(gè)網(wǎng)絡(luò)的等于你家大門(mén)敞開(kāi)門(mén)鎖是不存在的。Redis 官方其實(shí)提供了一個(gè)叫protected-mode的保護(hù)機(jī)制。默認(rèn)情況下它確實(shí)是yes但這個(gè)保護(hù)模式只有在“沒(méi)有顯式設(shè)置密碼、沒(méi)有綁定bind地址、沒(méi)有配置 ACL 用戶”時(shí)才生效。更麻煩的是它的保護(hù)邏輯是如果 Redis 只監(jiān)聽(tīng)在回環(huán)地址外部請(qǐng)求會(huì)被拒絕可一旦你手動(dòng)設(shè)置了bind 0.0.0.0或者讓容器端口映射到宿主機(jī)protected-mode的判斷就不那么靠譜了。所以指望默認(rèn)配置是不現(xiàn)實(shí)的最可靠的做法是設(shè)置一個(gè)強(qiáng)密碼并且讓所有客戶端統(tǒng)一走認(rèn)證。1.2 requirepass、AUTH、protected-mode 三者的關(guān)系requirepass是 Redis 配置文件里最核心的認(rèn)證參數(shù)它設(shè)置“全局密碼”。一旦設(shè)置Redis 會(huì)要求所有連接在真正執(zhí)行命令前先發(fā)送AUTH password。命令行參數(shù)--requirepass和運(yùn)行時(shí)命令CONFIG SET requirepass最終改的也是同一個(gè)全局配置項(xiàng)。protected-mode前面說(shuō)了是“保險(xiǎn)栓”。當(dāng)密碼沒(méi)設(shè)置時(shí)Redis 會(huì)拒絕來(lái)自非回環(huán)地址的連接。但只靠它會(huì)有誤傷也會(huì)帶來(lái)“以為安全了其實(shí)沒(méi)安全”的錯(cuò)覺(jué)所以應(yīng)該把requirepass當(dāng)成主要手段protected-mode保持不變作為第二道防線。還有一個(gè)新東西叫ACL 用戶體系從 Redis 6 開(kāi)始提供。ACL 可以給不同用戶設(shè)置不同權(quán)限r(nóng)equirepass本質(zhì)上只是創(chuàng)建了一個(gè)默認(rèn)用戶的認(rèn)證方式。對(duì)大多數(shù)中小項(xiàng)目來(lái)說(shuō)先用requirepass把門(mén)鎖上后續(xù)需要精細(xì)化權(quán)限再遷移到 AC L也不遲。1.3 動(dòng)手前先做三件準(zhǔn)備工作第一件確定密碼策略。不要用123456這種級(jí)別的密碼我建議至少 16 位包含大小寫(xiě)字母、數(shù)字、特殊字符而且不要和其他系統(tǒng)的口令重復(fù)。你想想 Redis 里可能緩存了什么多半是 session、計(jì)數(shù)、熱點(diǎn)數(shù)據(jù)有些甚至是業(yè)務(wù)表的一級(jí)緩存泄露出去不只是面子問(wèn)題。第二件確認(rèn)你手上有管理權(quán)限。如果是遠(yuǎn)程服務(wù)器上的 Redis你需要能改配置文件并且能重啟服務(wù)如果是 Docker 容器你需要能執(zhí)行docker exec或者能重新docker run一個(gè)新的容器。否則你只能讓運(yùn)維協(xié)助操作。第三件備份。改配置文件之前先把redis.conf復(fù)制一份例如cp redis.conf redis.conf.bak。如果你用的是云廠商的托管 Redis那還要先搞清楚服務(wù)面板里有沒(méi)有“重置密碼”入口有的話優(yōu)先用客戶端提供的安全能力而不是直接改機(jī)器上的配置因?yàn)橥泄軐?shí)例很多配置是被云平臺(tái)鎖定的。2. 場(chǎng)景一配置文件方式設(shè)置 Redis 密碼2.1 找到 node_modules 都在哪個(gè)路徑不同安裝方式的 Redis配置文件位置差別很大。我列幾個(gè)常見(jiàn)位置幫你快速定位安裝方式常見(jiàn)路徑Ubuntu / Debian apt 安裝/etc/redis/redis.confCentOS / RHEL yum 安裝/etc/redis.conf或/etc/redis/redis.conf源碼編譯安裝你執(zhí)行./configure --prefixxxx時(shí)指定的目錄下通常是源碼目錄里的redis.conf安裝后可能在/usr/local/redis/etc/redis.confWindows 安裝包安裝目錄下的redis.windows.confMac 上用 Homebrew 安裝/usr/local/etc/redis.conf或/opt/homebrew/etc/redis.conf如果實(shí)在找不到可以用redis-server --version看版本信息然后用ps -ef | grep redis查看啟動(dòng)命令啟動(dòng)命令里往往帶redis-server /path/to/redis.conf這類(lèi)路徑。再不行就find / -name redis.conf 2/dev/null雖然慢一點(diǎn)但能找到。2.2 修改 redis.conf 中的 requirepass以最常見(jiàn)的/etc/redis/redis.conf為例。先用編輯器打開(kāi)比如vim /etc/redis/redis.conf然后找到這一行# requirepass foobared注意#注釋。默認(rèn)配置里requirepass是被注釋掉的表示“不設(shè)密碼”。你需要把注釋去掉改成自己的密碼requirepass YourStrongPassw0rd!2024改完之后保存退出。這里有兩個(gè)小細(xì)節(jié)要留意。第一requirepass后面是明文的這意味著凡是能讀到配置文件的人都會(huì)看到密碼。所以在團(tuán)隊(duì)環(huán)境里要注意這個(gè)文件本身的權(quán)限比如chmod 640 /etc/redis/redis.conf。第二配置文件里如果同時(shí)存在多個(gè)requirepassRedis 只認(rèn)最后一個(gè)所以別指望用“多個(gè)密碼并存”的方式來(lái)做輪換舊版本那是行不通的要做密碼輪換就用 ACL 多用戶。2.3 重啟 Redis 并驗(yàn)證密碼是否生效改完配置文件必須重啟 Redis 才能生效因?yàn)榕渲梦募辉趩?dòng)時(shí)加載。不同系統(tǒng)的重啟命令不一樣systemctl restart redis適用于大多數(shù) Linux 發(fā)行版服務(wù)化安裝。service redis-server restart適用于 SysV init 管理的老環(huán)境。如果你是直接前臺(tái)起的那就CtrlC停掉再用同樣命令啟動(dòng)。重啟之后驗(yàn)證是非常關(guān)鍵的一步不然你根本不知道密碼是否真的生效。最簡(jiǎn)單的驗(yàn)證動(dòng)作是執(zhí)行redis-cli ping如果密碼生效你會(huì)看到(error) NOAUTH Authentication required.出現(xiàn)這個(gè)報(bào)錯(cuò)就說(shuō)明密碼已經(jīng)擋在最前面了。緊接著用密碼認(rèn)證redis-cli -a YourStrongPassw0rd!2024 ping看到PONG就說(shuō)明認(rèn)證成功。這里有個(gè)提示-a參數(shù)會(huì)把密碼留在 shell 歷史記錄里所以正式環(huán)境推薦用redis-cli進(jìn)入交互模式后輸入AUTH或者臨時(shí)設(shè)置REDISCLI_AUTH環(huán)境變量來(lái)完成驗(yàn)證。2.4 配置文件方式的三個(gè)注意點(diǎn)注意點(diǎn)一是不要把密碼寫(xiě)在命令行參數(shù)里然后寫(xiě)進(jìn) systemd service 文件因?yàn)?systemd 里用ExecStart啟動(dòng) Redis 時(shí)命令行參數(shù)會(huì)暴露給所有能執(zhí)行ps的用戶。正確的做法是讓 systemd 通過(guò)-c /etc/redis/redis.conf指向配置文件密碼只存在于redis.conf中。注意點(diǎn)二是改完配置后先做一次redis-cli -a 密碼 config get requirepass驗(yàn)證CONFIG GET返回的是一個(gè)數(shù)組一般樣子是1) requirepass 2) YourStrongPassw0rd!2024如果返回值是空那就是你改錯(cuò)文件了Redis 實(shí)際讀取的是另一份配置。注意點(diǎn)三是最容易被忽略的配置文件方式適合永久生效但不適合頻繁換密碼。你一改配置文件就要重啟而重啟意味著短暫斷連緩存雪崩風(fēng)險(xiǎn)也會(huì)升高。所以線上環(huán)境如果突然需要緊急換密碼我一般先用后面要講的命令行方式動(dòng)態(tài)切換等到業(yè)務(wù)低峰期再改配置文件做持久化。3. 場(chǎng)景二Docker 容器中設(shè)置 Redis 密碼3.1 Docker 環(huán)境下的三種改密思路Docker 里跑 Redis 和本機(jī)跑 Redis 有個(gè)本質(zhì)區(qū)別容器的文件系統(tǒng)是臨時(shí)層你在容器里改的東西容器一刪就全沒(méi)了。所以“在容器里用vim改 redis.conf” 這種操作雖然能生效但是非常不可靠?？孔V的思路有三種啟動(dòng)容器時(shí)直接通過(guò)命令行參數(shù)--requirepass設(shè)置掛載一份自定義配置文件到容器內(nèi)或者在docker-compose.yml里編排好配置。下面逐個(gè)說(shuō)。3.2 方式 A使用 docker run 啟動(dòng)參數(shù)直接指定密碼大多數(shù)官方 Redis 鏡像默認(rèn)會(huì)執(zhí)行redis-server所以你可以直接給它傳參數(shù)。先看一條真實(shí)可用的啟動(dòng)命令docker run -d \ --name redis-pass \ -p 6379:6379 \ redis:7 \ redis-server --requirepass YourStrongPassw0rd!2024 --appendonly yes這條命令的意思是用redis:7鏡像啟動(dòng)一個(gè)叫redis-pass的容器把宿主機(jī) 6379 映射到容器 6379然后在啟動(dòng) Redis 服務(wù)時(shí)追加兩個(gè)配置參數(shù)一個(gè)是密碼一個(gè)是開(kāi)啟 AOF 持久化。驗(yàn)證方式同樣很簡(jiǎn)單docker exec -it redis-pass redis-cli -a YourStrongPassw0rd!2024 ping看到PONG就正常。如果你這時(shí)候進(jìn)入容器內(nèi)部用redis-cli ping會(huì)得到NOAUTH報(bào)錯(cuò)因?yàn)閐ocker exec進(jìn)去默認(rèn)就在 Redis 容器里執(zhí)行redis-cli不會(huì)自動(dòng)帶密碼。這個(gè)方式的優(yōu)點(diǎn)是干凈、直接、不用準(zhǔn)備配置文件。缺點(diǎn)是密碼會(huì)出現(xiàn)在docker run的命令行里如果你用 shell history 保存了這條命令別人history一下就能看到。所以本地測(cè)試可以用但正式環(huán)境建議用下面的掛載配置文件方式或者把密碼放到 Docker Secret 這種專門(mén)機(jī)制里。3.3 方式 B把自定義 redis.conf 掛載進(jìn)容器這是我自己在生成環(huán)境最常采用的方式因?yàn)榕渲玫目删S護(hù)性更強(qiáng)。步驟分三步。第一步在宿主機(jī)上準(zhǔn)備一份redis.conf。你可以從官方鏡像里拷貝一份模板也可以自己寫(xiě)一個(gè)最小配置。例如我在宿主機(jī)/opt/redis/config/redis.conf里寫(xiě)了bind 0.0.0.0 protected-mode yes port 6379 requirepass YourStrongPassw0rd!2024 appendonly yes appendfilename appendonly.aof第二步用掛載參數(shù)啟動(dòng)容器docker run -d \ --name redis-pass-file \ -p 6379:6379 \ -v /opt/redis/config/redis.conf:/usr/local/etc/redis/redis.conf \ redis:7 \ redis-server /usr/local/etc/redis/redis.conf這里的重點(diǎn)是把宿主機(jī)上的/opt/redis/config/redis.conf掛載到容器里的/usr/local/etc/redis/redis.conf然后啟動(dòng)命令要顯式指定讓 Redis 使用這個(gè)配置文件。如果不指定官方鏡像默認(rèn)啟動(dòng)時(shí)可能用的是源碼編譯目錄里的默認(rèn)配置掛載進(jìn)去也不會(huì)被讀取。第三步驗(yàn)證docker exec redis-pass-file redis-cli -a YourStrongPassw0rd!2024 ping這個(gè)方式的好處非常明顯所有配置項(xiàng)都在宿主機(jī)的一個(gè)文件里后續(xù)要調(diào)整maxmemory、持久化策略、密碼等只需要改宿主機(jī)的redis.conf再重啟容器就行。而且這個(gè)配置文件還能直接用 Git 管理整個(gè) Redis 的運(yùn)行時(shí)配置都有了版本記錄。3.4 方式 Cdocker-compose 編排配置文件如果你用 Docker Compose 來(lái)管理一堆服務(wù)那 Redis 的密碼配置應(yīng)該寫(xiě)進(jìn)docker-compose.yml里。我給出一個(gè)可以直接套用的示例services: redis: image: redis:7 container_name: redis-compose-pass restart: always ports: - 6379:6379 volumes: - /opt/redis/config/redis.conf:/usr/local/etc/redis/redis.conf - /opt/redis/data:/data command: [redis-server, /usr/local/etc/redis/redis.conf]啟動(dòng)命令docker compose up -d然后驗(yàn)證docker compose exec redis redis-cli -a YourStrongPassw0rd!2024 pingCompose 方式最大優(yōu)勢(shì)是配置聲明式、可復(fù)制新環(huán)境只要把這份 YAML 和 redis.conf 拿過(guò)去docker compose up -d就能得到一模一樣的容器。3.5 容器場(chǎng)景的避坑細(xì)節(jié)這里我必須多說(shuō)幾句都是踩過(guò)的坑。第一個(gè)是掛載文件的權(quán)限問(wèn)題。宿主機(jī)上掛載進(jìn)容器的redis.conf文件如果權(quán)限設(shè)置成777部分 Redis 鏡像可能會(huì)拒絕執(zhí)行。規(guī)范做法是chmod 644保證 Redis 進(jìn)程用戶有讀取權(quán)限而不是直接給最高權(quán)限。第二個(gè)是CONFIG REWRITE和容器配置文件的矛盾。假設(shè)你在容器里用redis-cli config set requirepass xxx改了密碼再執(zhí)行config rewrite這時(shí) Redis 會(huì)嘗試把當(dāng)前配置寫(xiě)回它啟動(dòng)時(shí)讀取的配置文件。如果這個(gè)文件是被掛載進(jìn)容器的重寫(xiě)會(huì)成功但它如果屬于容器內(nèi)部文件系統(tǒng)容器一刪就全丟。更尷尬的是如果掛載文件是只讀的config rewrite還會(huì)直接報(bào)錯(cuò)。所以容器場(chǎng)景下的正確姿勢(shì)是在宿主機(jī)上改redis.conf再重啟容器。第三個(gè)是日志排查技巧。如果容器啟動(dòng)異常不要只盯著docker logs的簡(jiǎn)短輸出很多 Redis 配置錯(cuò)誤會(huì)出現(xiàn)在最后幾行。比如我遇到過(guò)容器直接退出docker logs輸出里明確寫(xiě)了# Warning: couldnt set memory limit # Cant open the log file: Permission denied這多半是掛載文件或數(shù)據(jù)目錄的權(quán)限問(wèn)題。調(diào)整目錄歸屬chown -R redis:redis /opt/redis/data后就能解決。第四個(gè)是關(guān)于端口沖突。如果宿主機(jī) 6379 已經(jīng)被本機(jī) Redis 占用了Docker 啟動(dòng)時(shí)會(huì)報(bào)bind: address already in use。這種時(shí)候要么關(guān)掉本機(jī) Redis要么把宿主機(jī)端口改成16379再映射比如-p 16379:6379。4. 場(chǎng)景三命令行方式設(shè)置 Redis 密碼4.1 啟動(dòng)時(shí)通過(guò)命令行參數(shù)指定密碼啟動(dòng) Redis 時(shí)可以直接通過(guò)--requirepass傳參這個(gè)方式在臨時(shí)測(cè)試和調(diào)試時(shí)最常用?？词纠齬edis-server --port 6380 --requirepass TmpPassw0rd!888 --protected-mode yes這條命令會(huì)在 6380 端口啟動(dòng)一個(gè) Redis 實(shí)例并且設(shè)置密碼為T(mén)mpPassw0rd!888。啟動(dòng)時(shí)加--protected-mode yes是為了避免“設(shè)置了密碼但保護(hù)模式關(guān)閉”的不穩(wěn)定狀態(tài)。驗(yàn)證這一步redis-cli -p 6380 -a TmpPassw0rd!888 ping這種方式適合本地多實(shí)例測(cè)試比如你想在 6380、6381、6382 上分別起三個(gè)不同配置的 Redis用命令行參數(shù)最省事不用準(zhǔn)備三份配置文件。但它也有致命缺陷密碼一旦以參數(shù)形式出現(xiàn)在進(jìn)程啟動(dòng)信息里你就能通過(guò)ps -ef看到明文所以只適合臨時(shí)調(diào)試用來(lái)做生產(chǎn)環(huán)境是不可取的。如果你用redis-server /usr/local/etc/redis/redis.conf --requirepass optimizePassword這種混合方式要注意命令行參數(shù)的優(yōu)先級(jí)高于配置文件。也就是說(shuō)如果配置文件和命令行參數(shù)都寫(xiě)了密碼以命令行參數(shù)為準(zhǔn)。這個(gè)特性在臨時(shí)覆蓋配置時(shí)很有用但也會(huì)迷惑人我曾經(jīng)遇到過(guò)有人改了配置文件卻沒(méi)生效就是因?yàn)?service 啟動(dòng)腳本里殘留了舊的命令參數(shù)。4.2 運(yùn)行中動(dòng)態(tài)修改密碼CONFIG SET這是不需要重啟服務(wù)就能改密碼的方法也是線上應(yīng)急改密的首選。先連接到 Redisredis-cli然后執(zhí)行CONFIG SET requirepass NewPassword-2024執(zhí)行成功后Redis 會(huì)立刻啟用新密碼。這里有個(gè)非常關(guān)鍵的點(diǎn)當(dāng)你把requirepass設(shè)置為一個(gè)新密碼時(shí)當(dāng)前連接不會(huì)斷開(kāi)其他連接則會(huì)丟到認(rèn)證區(qū)需要重新AUTH。你自己這個(gè)連接是“以前密碼連接進(jìn)來(lái)的”但它不會(huì)因?yàn)槟愀牧嗣艽a就被踢掉因?yàn)?Redis 只認(rèn)證“連接建立后第一條命令”而且CONFIG SET本身就是特殊命令已驗(yàn)證過(guò)的連接保持可用。如果你把密碼設(shè)成空字符串CONFIG SET requirepass 就相當(dāng)于去掉密碼立刻恢復(fù)無(wú)認(rèn)證狀態(tài)。這個(gè)操作非常危險(xiǎn)但偶爾會(huì)用在調(diào)試和自動(dòng)化環(huán)境里生產(chǎn)環(huán)境千萬(wàn)別這么干。4.3 持久化密碼CONFIG REWRITE 的作用CONFIG SET只改內(nèi)存中的配置重啟后就沒(méi)了。要想把修改寫(xiě)入配置文件必須執(zhí)行CONFIG REWRITECONFIG REWRITE會(huì)把當(dāng)前 Redis 配置和它啟動(dòng)時(shí)讀取的配置文件進(jìn)行合并把內(nèi)存中的變更寫(xiě)回文件。如果 Redis 啟動(dòng)時(shí)沒(méi)有指定配置文件也就是純命令行參數(shù)的臨時(shí)實(shí)例執(zhí)行CONFIG REWRITE會(huì)報(bào)錯(cuò)(error) ERR The server is running without a config file所以在生產(chǎn)環(huán)境我一般這么做先用CONFIG SET requirepass臨時(shí)降低風(fēng)險(xiǎn)比如在漏報(bào)告警時(shí)快速加密碼。業(yè)務(wù)低峰期執(zhí)行CONFIG REWRITE讓配置持久化。再準(zhǔn)備一個(gè)快速重啟窗口確認(rèn)配置文件里的requirepass已經(jīng)出現(xiàn)。CFG REWRITE 還有一個(gè)坑它不會(huì)完整保留配置文件里的所有注釋和排版因?yàn)樗鼤?huì)按 Redis 自身的內(nèi)存配置重新生成文件內(nèi)容。所以一個(gè)寫(xiě)滿精美中文注釋的配置文件執(zhí)行一次 rewrite 之后注釋可能就少了一半。我的建議是配置文件還是要通過(guò) Git 管理生成好的redis.conf是基礎(chǔ)設(shè)施的一部分不要依賴運(yùn)行時(shí) rewrite 來(lái)維護(hù)。4.4 命令行驗(yàn)證密碼的正確姿勢(shì)最后說(shuō)說(shuō)怎么用命令行驗(yàn)證密碼。最常規(guī)的命令redis-cli -a YourPassword ping輸出為PONG第二招是進(jìn)入交互模式后用AUTHredis-cli 127.0.0.1:6379 AUTH YourPassword OK 127.0.0.1:6379 PING PONG第三招是不用-a參數(shù)用環(huán)境變量export REDISCLI_AUTHYourPassword redis-cli ping這樣也能自動(dòng)認(rèn)證并且密碼不會(huì)出現(xiàn)在ps -ef的進(jìn)程參數(shù)列表中。這個(gè)方法我在批量執(zhí)行腳本時(shí)經(jīng)常用。需要提醒的是-a參數(shù)如果密碼有特殊字符比如!、$、shell 可能會(huì)做變量展開(kāi)建議用單引號(hào)把密碼括住或者用--raw再手動(dòng)控制輸出。5. 三種方式對(duì)比與高頻排障5.1 三種設(shè)置方式對(duì)比設(shè)置方式生效方式持久性適合場(chǎng)景風(fēng)險(xiǎn)點(diǎn)配置文件修改重啟 Redis永久生產(chǎn)環(huán)境正式部署需要重啟有短暫中斷Docker 掛載配置文件重啟容器永久容器化生產(chǎn)環(huán)境掛載權(quán)限、路徑易錯(cuò)docker run 帶參重啟容器容器生命周期內(nèi)臨時(shí)測(cè)試、快速驗(yàn)證密碼會(huì)出現(xiàn)在命令行命令行 CONFIG SET立即生效不持久需 REWRITE線上臨時(shí)改密忘寫(xiě) rewrite 則重啟失效redis-server 啟動(dòng)參數(shù)啟動(dòng)時(shí)進(jìn)程運(yùn)行期間本地多實(shí)例調(diào)試密碼在進(jìn)程參數(shù)中可見(jiàn)我給你的實(shí)用建議是開(kāi)發(fā)環(huán)境用命令行參數(shù)測(cè)試環(huán)境用 docker 掛載生產(chǎn)環(huán)境要么用真機(jī)配置文件、要么用 Docker 掛載配置文件。核心原則只有一個(gè)——不要讓密碼出現(xiàn)在能被人輕松看到的地方。5.2 常見(jiàn)報(bào)錯(cuò)與排查手冊(cè)先列一個(gè)快速排查表報(bào)錯(cuò) / 現(xiàn)象可能原因解決辦法(error) NOAUTH Authentication required.認(rèn)證未通過(guò)或還沒(méi)發(fā) AUTH用redis-cli -a 密碼或在連接后先執(zhí)行 AUTH(error) ERR Client sent AUTH, but no password is set.正打算發(fā) AUTH但 Redis 沒(méi)配置密碼檢查CONFIG GET requirepass為空說(shuō)明沒(méi)設(shè)密碼(error) WRONGPASS invalid username-password pair密碼輸錯(cuò)了重新確認(rèn)密碼注意特殊字符轉(zhuǎn)義docker: Error response from daemon: Conflict.容器名沖突換個(gè)容器名或docker rm舊容器Cannot connect to the Docker daemondocker 服務(wù)未啟動(dòng)或無(wú)權(quán)限systemctl start docker或檢查用戶組容器啟動(dòng)后立即退出配置文件路徑錯(cuò)誤或數(shù)據(jù)目錄權(quán)限不對(duì)看docker logs 容器名最后的錯(cuò)誤信息(error) ERR Unsupported CONFIG parameter: requirepass你連的可能不是 Redis或者版本極老確認(rèn)端口和客戶端類(lèi)型MISCONF Redis is configured to save RDB snapshotsCONFIG SET后持久化寫(xiě)入異常檢查磁盤(pán)權(quán)限和dir配置這里重點(diǎn)說(shuō)一下NOAUTH的排查思路。你看到NOAUTH不要立刻懷疑密碼錯(cuò)了先確認(rèn) Redis 是否真的設(shè)置了密碼redis-cli -a 原密碼 CONFIG GET requirepass或者當(dāng)你知道密碼但想試探時(shí)redis-cli CONFIG GET requirepass如果返回的是空數(shù)組說(shuō)明 Redis 當(dāng)前是沒(méi)有密碼的如果返回的是1) requirepass 2) 密碼那說(shuō)明有密碼你需要在連接時(shí)帶上。排查容器端口的報(bào)錯(cuò)也要注意順序。先用docker ps看容器狀態(tài)是否Up再用docker logs看啟動(dòng)日志最后再?zèng)Q定是檢查配置文件還是數(shù)據(jù)目錄權(quán)限。順序亂了容易白忙活。5.3 設(shè)置密碼后對(duì)主從復(fù)制、客戶端和工具鏈的影響設(shè)置密碼這件事最容易被忽視的是“連鎖影響”。我舉三個(gè)真實(shí)場(chǎng)景。場(chǎng)景一主從復(fù)制。如果你有一個(gè) Redis 主實(shí)例和若干個(gè)從實(shí)例給主實(shí)例設(shè)置密碼后從實(shí)例必須配置masterauth否則從節(jié)點(diǎn)連不上主節(jié)點(diǎn)。從節(jié)點(diǎn)的配置里可以加masterauth YourMasterPasswordmasterauth要填寫(xiě)的是主實(shí)例的requirepass密碼。如果你用的是 Redis 6 的 ACL那么還需要對(duì)應(yīng)主實(shí)例 master 用戶權(quán)限。這個(gè)坑非常常見(jiàn)我見(jiàn)過(guò)有人給主庫(kù)加了強(qiáng)密碼結(jié)果從庫(kù)同步中斷了半天才發(fā)現(xiàn)。場(chǎng)景二客戶端連接。你的業(yè)務(wù)代碼里所有連接 Redis 的地方都要帶上密碼。以 Java 的 Lettuce 為例需要在RedisClient配置里設(shè)置 password以 Go 的 go-redis 為例需要在Options里寫(xiě)Password字段。如果服務(wù)端已經(jīng)設(shè)密碼而客戶端沒(méi)跟上你會(huì)看到大量ERR Client sent AUTH, but no password is set或者NOAUTH錯(cuò)誤業(yè)務(wù)日志瞬間被刷屏。場(chǎng)景三可視化工具。像 Redis Desktop Manager、Another Redis Desktop Manager、Redis Insight 這類(lèi) GUI 工具連接時(shí)需要填寫(xiě)密碼字段。更多人忽略的是連接地址里的認(rèn)證方式比如某些老版本工具默認(rèn)是NoAuth你填了密碼也未必能在連接前認(rèn)證反而需要手動(dòng)設(shè)置“使用密碼認(rèn)證”。5.4 進(jìn)階用 ACL 用戶替代全局 requirepass如果你只有一個(gè)密碼控制全局讀寫(xiě)一旦密碼泄露攻擊者能執(zhí)行FLUSHALL把數(shù)據(jù)清空。Redis 6 之后的 ACL 可以把風(fēng)險(xiǎn)拆細(xì)。我簡(jiǎn)單舉個(gè)例子。在redis-cli里創(chuàng)建兩個(gè)用戶ACL SETUSER app_user on AppUserPassword!123 ~* all -dangerous ACL SETUSER admin_user on AdminPassword!456 ~* all第一行創(chuàng)建了app_user只能操作普通鍵空間但禁止執(zhí)行危險(xiǎn)命令組比如FLUSHALL、SHUTDOWN、KEYS等。第二行創(chuàng)建了admin_user擁有全部權(quán)限。實(shí)際使用時(shí)業(yè)務(wù)連接用app_user運(yùn)維排查用admin_user密碼各自獨(dú)立即使業(yè)務(wù)側(cè)密碼泄露也不能清空數(shù)據(jù)。ACL 的設(shè)置同樣可以寫(xiě)進(jìn)redis.confuser default on nopass ~* all user app_user on AppUserPassword!123 ~* all -dangerous user admin_user on AdminPassword!456 ~* all從長(zhǎng)期維護(hù)角度看ACL 比單一requirepass更優(yōu)雅也更安全。但前提是你得規(guī)劃好用戶權(quán)限矩陣否則前期遷移成本不小。對(duì)個(gè)人項(xiàng)目和小團(tuán)隊(duì)先用好requirepass守住底線等真有多個(gè)客戶端、多角色需求時(shí)再升級(jí)到 ACL。6. 最后再聊幾個(gè)我踩過(guò)的細(xì)節(jié)坑給 Redis 設(shè)置密碼這件事說(shuō)起來(lái)就是改一行配置的事但真正放到生產(chǎn)上是有一堆細(xì)節(jié)的。最后分享幾條能幫你少走彎路的心得。第一設(shè)置完密碼一定要在第二臺(tái)機(jī)器上測(cè)一下外網(wǎng)連接。我見(jiàn)過(guò)有人只在服務(wù)器本機(jī)用redis-cli驗(yàn)證通過(guò)結(jié)果從辦公網(wǎng)連過(guò)去還是報(bào)NOAUTH原因是他本機(jī) redis-cli 用了默認(rèn)端口 6379但服務(wù)器實(shí)際監(jiān)聽(tīng)的是另一個(gè)端口。驗(yàn)證命令里一定要帶上-h 服務(wù)器IP -p 端口。第二動(dòng)態(tài)改密時(shí)優(yōu)先改代碼再改 Redis。線上環(huán)境如果必須換密碼不要先動(dòng) Redis 再改業(yè)務(wù)配置那會(huì)造成一段時(shí)間內(nèi)所有業(yè)務(wù)請(qǐng)求全部報(bào)錯(cuò)。正確順序是先把客戶端連接信息改成新密碼然后灰度發(fā)布最后再執(zhí)行CONFIG SET requirepass切換服務(wù)端。如果客戶端配置已經(jīng)全部更新但 Redis 還沒(méi)換舊密碼仍然有效業(yè)務(wù)不會(huì)中斷。第三不要把密碼和 Redis 放在同一個(gè)配置文件里提交到公開(kāi)倉(cāng)庫(kù)。即使你的redis.conf寫(xiě)得再規(guī)范一旦推送到公開(kāi) GitHub密碼就已經(jīng)泄露?，F(xiàn)在很多項(xiàng)目會(huì)用到.gitignore過(guò)濾配置文件模板或者用環(huán)境變量${REDIS_PASSWORD}占位再由部署系統(tǒng)注入真實(shí)值這才是更穩(wěn)的做法。第四如果你用的是云廠商提供的 Redis 實(shí)例千萬(wàn)不要嘗試在控制臺(tái)外去手動(dòng)改配置文件。托管實(shí)例的配置入口通常在控制臺(tái)的“參數(shù)組”或“安全設(shè)置”里。手動(dòng)連接到服務(wù)器內(nèi)部去改大概率改變不了實(shí)際生效配置還容易把實(shí)例搞到不可用。這個(gè)結(jié)論我反復(fù)驗(yàn)證過(guò)云上資源就按云上的玩法來(lái)。最后再補(bǔ)充一個(gè)小技巧無(wú)論用了哪種方式設(shè)置密碼都應(yīng)該在客戶端的工具腳本里加一個(gè)快速自檢。比如我習(xí)慣在部署腳本里加一行redis-cli -h $REDIS_HOST -p $REDIS_PORT -a $REDIS_PASSWORD ping /dev/null 21 echo Redis auth OK別小看這一行它能讓你在代碼上線前第一時(shí)間發(fā)現(xiàn)問(wèn)題而不是等業(yè)務(wù)跑起來(lái)之后被超時(shí)和報(bào)錯(cuò)淹沒(méi)。畢竟 Redis 的密碼設(shè)置不是“設(shè)完就結(jié)束”的事后面跟著的是客戶端、主從、監(jiān)控、工具鏈的一整套聯(lián)動(dòng)。把每個(gè)環(huán)節(jié)都打通這個(gè)密碼才算真正設(shè)置成功了。