Redis权限管理体系二):终于等来了Redis权限控制体系ACL
mhr18 2024-11-13 11:08 14 浏览 0 评论
Redis在存储系统界的使用排名一直遥遥领先，但Redis6版本之前，一直没有一套较为全面的权限控制体系。而随着Redis6版本被更多人使用后，权限控制系统也逐渐广泛应用起来了，本文就探索一下Redis ACL的主要内容。
1. 用户管理
Redis用户的创建、查看、修改、删除等主要操作可以按照如下实例进行
1.1 创建用户
只创建用户，暂时不添加其他权限
127.0.0.1:6479> ACL SETUSER user1 on >pwd_u1
OK
另外，上例中，设置的是明文密码，也可以设置加密的hash密码，例如：
#先获取对于密码的hash值
[redis@VM-4-14-centos ~]$ echo -n "pwd_u1" | shasum -a 256
21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544 -
#以密文的方式创建密码
127.0.0.1:6479> ACL SETUSER u2 on #21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544
OK
1.2 查看用户
Redis中查看用户时可以看到对应的用户信息及权限；另外也可以选择查看全部用户信息、指定用户信息及当前登录的用户是谁。具体示例如下：
列出所有用户：
127.0.0.1:6479> ACL LIST
1) "user default on #515c217eb413b6aaf09de74bf42c85a6edc09ee7008c6ebedc2981b44bbc0fd3 ~* &* +@all"
2) "user testuser1 on #b6d18faf7ebcfdce9f8782a0aad13c14e2662fcc08072e2738bcb27d04b96188 &* -@all"
3) "user user1 on #21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544 &* -@all"
127.0.0.1:6479>查看指定用户：
查看单个用户可以用 "ACL GETUSER 用户名"的方式查看,例如：
127.0.0.1:6479> ACL GETUSER user1
1) "flags"
2) 1) "on"
2) "allchannels"
3) "passwords"
4) 1) "21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544"
5) "commands"
6) "-@all"
7) "keys"
8) (empty array)
9) "channels"
10) 1) "*"
查看当前登录用户：
127.0.0.1:6479> ACL WHOAMI
"default"
1.3 创建多密码
Redis中一个用户可以有多个密码，这是与其他数据库有所不同的地方。示例如下：
127.0.0.1:6479> ACL SETUSER u3 on >pwd_u3
OK
127.0.0.1:6479> ACL SETUSER u3 on >pwd_u33
OK
127.0.0.1:6479> ACL GETUSER u3
1) "flags"
2) 1) "on"
2) "allchannels"
3) "passwords"
4) 1) "8064ac564c2512d07af567e7de8714bc194abe6afefef26370f44e33593d6179"
2) "d190fe553fa81919050af3f9c482bb70ea19619e64e5c26c9b95e3f61de557c1"
5) "commands"
6) "-@all"
7) "keys"
8) (empty array)
9) "channels"
10) 1) "*"
尝试用2个不同的密码登录一下：
# 使用第一个密码登录
127.0.0.1:6479> AUTH u3 pwd_u3
OK
# 使用第二个密码登录
127.0.0.1:6479> AUTH u3 pwd_u33
OK
# 使用错误密码登录
127.0.0.1:6479> AUTH u3 pwd_u4444
(error) WRONGPASS invalid username-password pair or user is disabled.
127.0.0.1:6479>
可见，2个正确的密码都可以登录，这个有个优点在于如果忘记之前的密码，可以在新增一个密码，而不影响原密码的使用。
1.4 删除用户
如需删除指定的用户，可以使用ACL DELUSER命令操作，例如
127.0.0.1:6479> ACL LIST
1) "user default on #515c217eb413b6aaf09de74bf42c85a6edc09ee7008c6ebedc2981b44bbc0fd3 ~* &* +@all"
2) "user testuser1 on #b6d18faf7ebcfdce9f8782a0aad13c14e2662fcc08072e2738bcb27d04b96188 &* -@all"
3) "user u2 on #21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544 #47843fd456370690f6c7897a73c1e2f0d563981aa3cad13e475bc3e72ca14656 &* -@all"
4) "user u3 on #8064ac564c2512d07af567e7de8714bc194abe6afefef26370f44e33593d6179 #d190fe553fa81919050af3f9c482bb70ea19619e64e5c26c9b95e3f61de557c1 &* -@all"
5) "user user1 on #21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544 &* -@all"
127.0.0.1:6479> ACL DELUSER user1
(integer) 1
127.0.0.1:6479> ACL LIST
1) "user default on #515c217eb413b6aaf09de74bf42c85a6edc09ee7008c6ebedc2981b44bbc0fd3 ~* &* +@all"
2) "user testuser1 on #b6d18faf7ebcfdce9f8782a0aad13c14e2662fcc08072e2738bcb27d04b96188 &* -@all"
3) "user u2 on #21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544 #47843fd456370690f6c7897a73c1e2f0d563981aa3cad13e475bc3e72ca14656 &* -@all"
4) "user u3 on #8064ac564c2512d07af567e7de8714bc194abe6afefef26370f44e33593d6179 #d190fe553fa81919050af3f9c482bb70ea19619e64e5c26c9b95e3f61de557c1 &* -@all"
127.0.0.1:6479>1.5 重置用户
可以将用户重置，重置后的用户无法登录，例如
127.0.0.1:6479> ACL SETUSER testuser1 reset
OK
127.0.0.1:6479> ACL GETUSER testuser1
1) "flags"
2) 1) "off"
2) "allchannels"
3) "sanitize-payload"
3) "passwords"
4) (empty array)
5) "commands"
6) "-@all"
7) "keys"
8) (empty array)
9) "channels"
10) 1) "*"
127.0.0.1:6479>
2. 权限控制
通过ACL方式添加权限，可以按需添加读写等操作权限，也可以针对对应的规则（如指定类型的key,指定开头的key等）添加权限。
2.1 查看权限
ACL中的操作权限可以通过ACL CAT命令查看
127.0.0.1:6479> ACL CAT
1) "keyspace"
2) "read"
3) "write"
4) "set"
5) "sortedset"
6) "list"
7) "hash"
8) "string"
9) "bitmap"
10) "hyperloglog"
11) "geo"
12) "stream"
13) "pubsub"
14) "admin"
15) "fast"
16) "slow"
17) "blocking"
18) "dangerous"
19) "connection"
20) "transaction"
21) "scripting"
其中每个类型的具体内容可以继续查看，例如查看dangerous操作的具体内容：
127.0.0.1:6479> ACL CAT dangerous
1) "debug"
2) "config"
3) "restore"
4) "swapdb"
5) "failover"
6) "slaveof"
7) "client"
8) "migrate"
9) "latency"
10) "sync"
11) "psync"
12) "lastsave"
13) "acl"
14) "role"
15) "flushdb"
16) "replconf"
17) "info"
18) "keys"
19) "bgsave"
20) "replicaof"
21) "sort"
22) "cluster"
23) "save"
24) "restore-asking"
25) "module"
26) "monitor"
27) "bgrewriteaof"
28) "pfselftest"
29) "pfdebug"
30) "slowlog"
31) "shutdown"
32) "flushall"
127.0.0.1:6479>
2.2 添加权限
之前创建用户u2，仅有登录权限，现在对其添加权限。
127.0.0.1:6479> ACL SETUSER u2 allkeys +@read +@write
OK以上是对所有key（allkeys，是 ~*的同义词）添加读写权限。加权限就是使用+@对应权限。
下面验证一下结果：
127.0.0.1:6479> AUTH u2 pwd_u2
OK
127.0.0.1:6479> set k1 1
OK
127.0.0.1:6479> get k1
"1"
127.0.0.1:6479> info
NOPERM this user has no permissions to run the 'info' command or its subcommand
2.3 回收权限
再对u2用户回收写权限，回收权限使用-@权限即可
ACL SETUSER u2 allkeys -@write
回收后再使用u2用户登录，则可以发现可以查看,但不能写入了
2.4 对指定类型的key进行权限管理
创建u1用户，然后对其添加string及hash类型的key的操作权限
127.0.0.1:6479> ACL SETUSER u1 on >pwd_u1
OK
127.0.0.1:6479> ACL GETUSER u1
1) "flags"
2) 1) "on"
2) "allchannels"
3) "passwords"
4) 1) "21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544"
5) "commands"
6) "-@all"
7) "keys"
8) (empty array)
9) "channels"
10) 1) "*"
127.0.0.1:6479> ACL SETUSER u1 allkeys +@string +@hash
OK
127.0.0.1:6479> ACL GETUSER u1
1) "flags"
2) 1) "on"
2) "allkeys"
3) "allchannels"
3) "passwords"
4) 1) "21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544"
5) "commands"
6) "-@all +@string +@hash"
7) "keys"
8) 1) "*"
9) "channels"
10) 1) "*"
127.0.0.1:6479>
验证权限
127.0.0.1:6479> ACL GETUSER u1
1) "flags"
2) 1) "on"
2) "allkeys"
3) "allchannels"
3) "passwords"
4) 1) "21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544"
5) "commands"
6) "-@all +@string +@hash"
7) "keys"
8) 1) "*"
9) "channels"
10) 1) "*"
127.0.0.1:6479> AUTH u1 pwd_u1
OK
127.0.0.1:6479> set s1 1
OK
127.0.0.1:6479> get s1
"1"
127.0.0.1:6479> hset h1 f1 'a'
(integer) 1
127.0.0.1:6479> hgetall h1
1) "f1"
2) "a"
127.0.0.1:6479> info
NOPERM this user has no permissions to run the 'info' command or its subcommand
127.0.0.1:6479> SMEMBERS set1
(error) NOPERM this user has no permissions to run the 'smembers' command or its subcommand
2.5 对指定key进行授权
对指定开头的key添加所有操作权限，例如
127.0.0.1:6479> ACL GETUSER u3
1) "flags"
2) 1) "on"
2) "allchannels"
3) "passwords"
4) 1) "8064ac564c2512d07af567e7de8714bc194abe6afefef26370f44e33593d6179"
5) "commands"
6) "-@all"
7) "keys"
8) (empty array)
9) "channels"
10) 1) "*"
127.0.0.1:6479> ACL SETUSER u3 ~a* +@all
OK
127.0.0.1:6479> ACL GETUSER u3
1) "flags"
2) 1) "on"
2) "allchannels"
3) "allcommands"
3) "passwords"
4) 1) "8064ac564c2512d07af567e7de8714bc194abe6afefef26370f44e33593d6179"
5) "commands"
6) "+@all"
7) "keys"
8) 1) "a*"
9) "channels"
10) 1) "*"
127.0.0.1:6479> 验证结果：
127.0.0.1:6479> set s2 222
(error) NOPERM this user has no permissions to access one of the keys used as arguments
127.0.0.1:6479> set a2 222
OK
127.0.0.1:6479> hset set2 f2 222
(error) NOPERM this user has no permissions to access one of the keys used as arguments
127.0.0.1:6479> hset aset2 f2 222
(integer) 1
127.0.0.1:6479> 53. 结语
通过创建用户及配置相应的权限，可以起到隔离用户操作，避免风险操作等，从而降低Redis被误操作或风险操作的概率，提升安全性及稳定性。大家也可以多多组合测试，配置适合自己使用的权限组合。
扫码关注
相关推荐
- 2025最新指南:Quarkus整合Redisson，轻松玩转分布式锁!
-
分布式系统的高并发场景下，如何确保资源操作的原子性和一致性？Redisson作为Redis官方推荐的分布式锁方案，结合Quarkus的云原生特性，能实现高性能、低延迟的分布式锁管理。本文将从原理到实战...
- Linux进程上下文切换过程context_switch详解
-
1前言1.1Linux的调度器组成2个调度器可以用两种方法来激活调度一种是直接的,比如进程打算睡眠或出于其他原因放弃CPU另一种是通过周期性的机制,以固定的频率运行,不时的检测是否有必要因此...
- 开发10年面试过上千人，在网易面试Java程序员，我最爱问这些问题
-
在网易当了3年的面试官，一般在面试Java程序员的时候，我主要会从这几个角度，去问这些问题，在这篇文章中，我会用我上一位面试过程来为大家总结，我面试的时候爱问的这些问题！有需要面试的小伙伴可以参考一下...
- 电影票务APP的“座位锁定”，Redis如何避免冲突?
-
现在买电影票，真是越来越方便了！再也不用提前老半天跑去电影院排队，在手机APP上动动手指，选好场次、挑好座位，在线支付，一气呵成。尤其是遇到热门大片，或者想抢个“皇帝位”（中间靠后视野好的位置），那个...
- Serverless架构下，Redis的用武之地在哪里?
-
在云计算的演进浪潮中，Serverless（无服务器）架构无疑是一颗璀璨的明星。它将传统服务器的运维复杂性彻底“隐藏”起来，开发者只需关注核心业务逻辑，编写一个个独立的函数（Function-as-a...
- 高可用聊天系统设计方案(Hyperf实现)
-
一、系统架构设计1.分层架构图客户端↑↓HTTP/WSAPI网关层（Nginx+Keepalived）↑↓RPC业务服务集群↑↓数据层（MySQLClus...
- 大厂面试冲刺，Java“实战”问题三连，你碰到了哪个?
-
推荐学习全网首发！马士兵内部共享—1658页《Java面试突击核心讲》狂刷《Java权威面试指南（阿里版）》，冲击“金九银十”有望了Java“实战”问题三连Java“实战”面试题1：如果用mybati...
- 企业开发必备的6个Spring Cloud微服务开源项目
-
今天介绍六款比较热门的SpringCloud微服务项目，感兴趣的可以clone下来研究一下，相信对你学习微服务架构很有帮助。一、Cloud-Platform介绍Cloud-Platform是国内首个基...
- 系统架构设计方法论:系统演进的四重境界
-
在架构师面试中，设计能力的考察本质是验证候选人如何将混沌需求转化为可落地的技术方案。这不仅需要扎实的技术功底，更需要系统化的设计思维。以下四大步骤，既是架构设计的核心框架，也是技术决策的动态沙盘推演。...
- 跨浏览器共享Session信息方法总结
-
在不同浏览器之间共享Session信息需要克服浏览器间的隔离机制，常见解决方案如下：1.基于Token的跨浏览器传递实现方式：用户在主浏览器生成临时Token（如加密URL或二维码）。其他浏览器通过...
- 如何设计一套单点登录系统
-
一、介绍昨天介绍了API接口设计token鉴权方案，其实token鉴权最佳的实践场景就是在单点登录系统上。在企业发展初期，使用的后台管理系统还比较少，一个或者两个。以电商系统为例，在起步阶段，可能只有...
- SpringBoot实现单点登录几种方案
-
前言：单点登录(SingleSign-On，SSO)是企业应用系统中常见的用户认证方案，它允许用户使用一组凭证访问多个相关但独立的系统，无需重复登录。基于Cookie-Session的传统SSO方案...
- 零基础小白如何学爬虫技术?看一遍就会的详细教程!
-
你以为爬虫需要精通编程、算法、网络协议才能入门？错了。作为零基础的小白，你完全可以在3周内学会主流网站的数据抓取，核心秘诀就两点：拆分具体目标+倒推式学习。与其纠结Python语法、HTTP协议这...
- 探秘Java中的分布式锁:优雅地协调分布式系统
-
探秘Java中的分布式锁：优雅地协调分布式系统在分布式系统的架构中，数据一致性是一个永恒的挑战。当我们需要在多个节点之间协调某些操作时，分布式锁便成为了一种不可或缺的工具。它就像一把钥匙，能够控制对共...
- 一文读懂 Spring Boot 3 分布式事务解决方案
-
在当今复杂的业务架构中，分布式事务处理是关键难题之一。随着业务规模的不断扩张，系统架构从单体逐渐演进为分布式，这就要求开发人员能够熟练掌握高效的分布式事务解决方案，以保障数据的一致性和业务的稳定性。今...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- oracle位图索引 (63)
- oracle批量插入数据 (62)
- oracle事务隔离级别 (53)
- oracle 空为0 (50)
- oracle主从同步 (55)
- oracle 乐观锁 (51)
- redis 命令 (78)
- php redis (88)
- redis 存储 (66)
- redis 锁 (69)
- 启动 redis (66)
- redis 时间 (56)
- redis 删除 (67)
- redis内存 (57)
- redis并发 (52)
- redis 主从 (69)
- redis 订阅 (51)
- redis 登录 (54)
- redis 面试 (58)
- 阿里 redis (59)
- redis 搭建 (53)
- redis的缓存 (55)
- lua redis (58)
- redis 连接池 (61)
- redis 限流 (51)