云端缓存安全八法则：网络隔离与防护实战

　　去年双十一，我蹲在IDC三号冷通道口啃冷掉的牛肉盖饭，饭盒底下压着那份《云端缓存安全八法则：网络隔离与防护实战》PDF——是运维老张凌晨两点甩进大群的，标题加粗还带闪电图标，像刚从某云厂商渠道会抄回来的PPT母版。我当时没点开，就盯着他头像右下角那个小小的“已读”灰点看了三秒。他左手正掰开一包椒盐饼干，右手在笔记本上画防火墙策略图，碎屑掉进网卡插槽里了，我也没提醒。

　　我原以为又是那种把iptables -A INPUT -j DROP写成“智能动态策略引擎”的东西，结果翻到第三条“跨AZ缓存同步必须经私有骨干网加密隧道”，我差点把最后一口饭呛进BMC日志里——这他妈不是我们上季度末真干砸过的事吗？那会儿CDN边缘节点被薅穿，不是因为WAF规则漏，是缓存集群直连公网LB的DNS SRV记录，暴露了。谁配的？前端老杨。他提PR时写：“兼容IE11得降级用JSONP，所以缓存路由必须走HTTP明文兜底”。我当天晚上改了七遍ACL，他手机弹出钉钉消息说“页面白屏了”，其实是我刚删掉他写的那行location /cache { proxy_pass http://pub-lb-raw; }。他后来蹲在茶水间剥橘子，指甲缝里全是橘络，没抬头看我一眼。

　　优胜劣汰？对。但不是按文档里的条款淘汰，是按谁先死、谁先跪、谁半夜三点被电话叫醒却连kubectl都不配输对上下文。八条里真站得住的，就两条：第四条“所有缓存代理节点禁止双向ICMP可达”，和第七条“缓存元数据存储（比如TTL字段）必须签名而非校验和”。其他六条？写着像真理，跑起来全是坑。比如第二条要求“缓存服务端口必须启用TLS 1.3+PSK”，可我们接入层Nginx 1.20.1根本不认PSK cipher suite——上周测试环境试了一上午，最后发现是内核TCP keepalive timeout设得太短，握手一半断了，报错打在access.log里，但日志级别是warn，没人扫。我就看着监控曲线那个尖峰，像一根断掉的牙签戳在QPS图上。

　　那天机房空调坏了，出风口嗡嗡震得人耳膜发麻。我在工位上改iptables，耳机线被椅子扶手缠住三次。第三次解开时，对面坐着的测试小林突然拍桌子：“缓存命中率掉到十二了！”——她说话时候左眼在眨，右眼没动，不知道是不是美瞳移位。我没理她。因为我知道，她刷的Dashboard是埋在CDN节点上的fake metric，后台脚本每分钟curl一次/hitrate，返回的json里hit_count硬编码为187，total_request随机取300–500，算出来永远在37%–62%之间浮动。她信，她领导信，连SRE组长开会都拿这数当KPI。但没人拆过那个curl命令的-w参数……

　　说到这个，得提一嘴去年那个安卓低端机白屏问题。运营说“用户反馈打开首页黑三秒”，我们查缓存，发现Edge Side Include模板里嵌了个，而cdn.xxx.com 的CNAME指向的是个已被回收的域名，解析失败后，Chrome安卓版会等满十八秒才超时——但iOS早切走了。于是运营手机上刷刷刷，我们这儿日志全是timeout；她同事的iPhone上首屏0.8秒，截图还发群里@所有人“看人家多快”。结果上线前夜，我把那行script删了，换成条件加载：if (navigator.userAgent.indexOf('Android') > -1 && parseFloat(navigator.appVersion) < 9) { / 注入空polyfill / }。老杨第二天来问“为啥polyfill没了”，我说“你上回说顺手支持一下IE11，这回我顺手也支持了一下你老板的三星S7”。他捏扁了手里的易拉罐，铝皮裂开声音特别脆。

　　对了，那天雨特别大，从凌晨四点开始，机房顶棚接水的塑料桶装满了两桶半，值班小哥换桶时被滑倒，后脑勺磕在UPS机柜边沿，肿起鸡蛋大一块青。他捂着头去医务室，路过我工位，顺手把手里那支中性笔搁我显示器边框上，墨囊朝下，笔尖滴了三滴蓝墨水在散热孔格栅上。到现在还有痕迹，擦不掉。我后来就没再换过这台显示器。

　　现在再说八法则。第六条说“所有缓存Key必须带业务域前缀+环境标识+哈希盐”，听起来严谨吧？可我们真实世界是：三个外包团队同时维护同一套缓存逻辑，一个用lodash.kebabCase，一个用snake_case，一个干脆拼错了product_id，写成prodcut_id。最后缓存池里躺着三百七十二个形似“cart:prod::1001”、“cart-prod-1001”、“cart_product_1001”、“cartr_1001”的key。删哪个？不敢删。运维老张说“按法则，该全部清掉重建”，我说“你清，我给你录屏，明天发全员邮件附链接，标题就叫《请问哪位老师教过我们如何让百万用户在零点同时刷新购物车？》”。他把烟掐了，转身去修漏水的喷淋头。

文章配图，仅供参考

　　所以我现在只信两条：别让缓存见公网，别让缓存替别人做决定。其余六条？写得比宪法还全，跑起来比老式传真机还卡。真要落地，得先把老杨的build.sh脚本里那行rm -rf node_modules && npm install注释掉——他每次上线都清依赖，顺手把本地redis-cli配的ACL文件也rm了。我敢打包票：他删过的ACL文件夹里，至少藏着三条没提交的ipset规则。至于具体是哪三条？这个我说不准。今晚得翻他Git历史，不过先得等他下班。看他外卖又点了麻辣香锅，红油浸透了纸盒底，正用牙签扎藕片。

　　下周我准备把缓存集群的etcd peer端口全关掉，改用静态成员列表+定期curl健康检查。知道为啥吗？因为昨天我看见老张在配置中心后台手动编辑了一个键：/cache/config/ttl_overrides/biz_cart，值是"{\\"default\\":300,\\"promo\\":120}"，但他忘了逗号后面少个空格——etcdv3接受，但Java客户端解析时报NumberFormatException，而这个错误码被吞掉了，log里只写“cache init fail, fallback to default ttl”。默认值是七天。现在购物车缓存失效要等一百六十八小时。我打算今天下午三点，在他喝完第二杯美式前，把那个键的value改成{\\"default\\":300,\\"promo\\":120}，不带换行、不带空格、不用任何IDE校验——就像二十年前我在Solaris上手敲ndd命令那样。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!