Redis密码怎么设比较安全，设置口令那些事儿你知道吗？

Redis密码怎么设比较安全，设置口令那些事儿你知道吗？

直接上干货，根据Redis官方文档和安全实践指南，设置一个安全的密码是防止未授权访问最基本、最关键的一步，下面这些事儿,你最好知道。

第一件事：Redis默认是没有密码的，这很危险。 如果你安装完Redis就直接用了，那你的数据库就像大门敞开，任何人都能连上你的Redis，查看、修改甚至删除你的数据，根据Redis官方文档（Redis documentation on security）明确指出的，必须通过配置requirepass来设置一个认证密码,这是最低限度的安全措施。

第二件事：密码不能设得太简单。 “123456”、“password”、甚至是“redis”这种，设了等于没设，攻击者一猜就中，怎么设比较安全呢？参考通用的密码安全原则和数据库安全建议（如OWASP认证指南中的相关建议）：

1. 长度要够：至少12位以上,现在更推荐16位或更长。
2. 复杂度要够：混合大小写字母、数字和特殊符号（如 !@#$%^&*），避免使用常见的单词、生日、连续数字或键盘顺序（如qwerty）。
3. 无规律：不要用公司名、产品名、域名的一部分,这些信息容易被猜到。
4. 独立唯一：Redis的密码不要和你其他系统（如服务器登录密码、数据库密码）的密码相同，防止一个系统被攻破,所有系统沦陷。

一个例子：MyRedis@Server2024!Pass 就比 redis123 安全得多。

第三件事：密码要放在正确的地方，用正确的方式设置。 你不能在命令行里用redis-cli直接设置config set requirepass password就完事了，因为这只是临时生效，重启就没了，正确的做法是修改Redis的配置文件（通常是redis.conf）：

1. 找到配置文件,用文本编辑器打开。
2. 搜索 # requirepass foobared 这一行。foobared是默认的示例密码，前面有个表示注释,即未启用。
3. 去掉，把foobared换成你自己生成的强密码。requirepass MyRedis@Server2024!Pass。
4. 保存文件，然后重启Redis服务,让配置生效。

第四件事：光有密码还不够，得配合其他“锁” 这是很多来源（如阿里云、腾讯云等云服务商的安全白皮书和社区安全文章）都会强调的：不能只依赖密码。

1. 改掉默认端口：Redis默认端口是6379，攻击者首先就扫描这个端口，在配置文件里修改port，比如改成 6380 或其他不常用的端口。
2. 限制访问来源：在配置文件里用 bind 指令，只允许特定的服务器IP来连接，比如你的应用服务器IP是168.1.100，那就设置 bind 192.168.1.127（本地环回地址）和 bind 192.168.1.100，对于云服务器，更要配合安全组/防火墙规则,只放行可信IP。
3. 禁止高危命令：可以通过配置rename-command把一些危险命令（如FLUSHALL清空所有数据、CONFIG修改配置、KEYS可能阻塞服务）重命名成随机字符串，或者直接禁用（重命名为）。rename-command FLUSHALL "" 和 rename-command CONFIG b840fc02d524045429941cc15f59e41cb7be6c52。
4. 使用网络隔离：不要把Redis直接暴露在公网上，最好放在内网环境，只有应用服务器能访问，如果必须在公网访问,考虑通过SSH隧道或VPN来连接。

第五件事：管理好你的密码

1. 不要硬编码在代码里：不要把密码直接写在应用的源代码中，尤其是提交到公开的代码仓库（如GitHub），这会导致密码泄露，应该使用环境变量、配置中心或密钥管理服务来存储和获取密码。
2. 定期更换：像换其他重要密码一样，定期（比如每季度或每半年）更换一次Redis密码，更换后，记得同步更新所有连接Redis的应用程序配置,并重启服务。
3. 使用不同环境的密码：开发、测试、生产环境的Redis必须使用不同的密码,防止开发人员误操作影响生产数据。

第六件事：了解连接时怎么用密码 设置了密码后，客户端连接时就需要认证,有两种常见方式：

1. 在连接后，发送 AUTH 你的密码 命令。
2. 更常见的是，在客户端连接字符串或配置中直接指定密码，比如在命令行中：redis-cli -h 你的地址 -p 端口 -a 你的密码（注意，这种方式可能会在系统进程列表里暴露密码，有一定风险），对于应用程序,在配置文件中指定密码参数。

最后要提醒的事：根据多个安全研究机构的报告（如CNVD、安全厂商的漏洞通报），互联网上存在大量因未设置密码或使用弱密码而导致Redis被攻击的事件，攻击者会利用这些漏洞植入挖矿程序、勒索软件，或删除数据勒索比特币,千万别嫌麻烦。

设置一个安全的Redis密码，核心是：一个足够长且复杂的密码 + 修改配置文件永久生效 + 配合改端口、限IP等额外防护 + 安全的密码管理习惯，这件事，是使用Redis时必须做好的“必修课”。