缓存穿透防护策略包括：一、空值缓存（存null并设短TTL）；二、布隆过滤器预检（拦截不存在key）；三、分布式锁+空值双重保障（防并发穿透）；四、TTL索引自动清理（MongoDB过期空值）；五、安全键生成（哈希脱敏+命名空间）。
如果您在使用 Laravel 搭配 MongoDB 或 Redis 作为缓存后端时，遭遇恶意构造的无效 key 频繁请求导致数据库直连压力激增，则很可能是发生了缓存穿透。以下是针对该问题的多种防护策略：
一、空值缓存策略
该策略通过将查询结果为空的数据也写入缓存，并设置较短的生存时间，使后续相同 key 的请求直接命中缓存，从而阻断对数据库的重复穿透访问。
1、在数据查询逻辑中判断数据库返回结果是否为空。
2、若结果为空，调用 Cache::put('key', null, 300) 将空值写入缓存，TTL 设置为 300 秒（5 分钟）。
3、在读取缓存时，统一使用 Cache::get('key')，即使返回 null 也视为缓存命中，不再查库。
4、确保 MongoDB 缓存驱动中的 MongoStore::get() 方法不跳过空值校验，保留原始存储内容。
二、布隆过滤器预检机制
布隆过滤器是一种空间效率极高的概率型数据结构，可在查询前快速判断某个 key 是否“可能存在于数据库中”，对确认不存在的 key 直接拦截，避免触达存储层。
1、通过 Composer 安装布隆过滤器扩展：composer require odan/bloom-filter。
2、创建 BloomFilterService 类，在构造函数中初始化容量为 1000000、误判率 0.001 的过滤器实例。
3、在数据写入数据库成功后，同步调用 $bloomService->add($id) 将合法 key 加入过滤器。
4、在查询入口处，先执行 $bloomService->has($id)；若返回 false，则直接返回 404 或空响应，不进行缓存与数据库查询。
三、分布式锁+空值双重保障
当布隆过滤器存在冷启动或未覆盖场景时，分布式锁可防止多个并发请求同时穿透至数据库重建空值缓存，避免瞬时 DB 压力尖峰。
1、使用 Laravel-MongoDB 提供的 MongoLock 组件，调用 acquire('lock:item:9999') 获取指定 key 的分布式锁。
2、获取锁成功后，再次检查缓存是否存在该 key，若仍为空则执行数据库查询。
Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。
3、若数据库查询结果为空，执行 Cache::put('item:9999', null, 300) 并释放锁。
4、获取锁失败的请求，等待短暂延迟（如 100ms）后重试缓存读取，而非立即查库。
四、TTL 索引自动清理配合空值回收
MongoDB 的 TTL 索引可自动删除过期缓存文档，结合空值缓存策略，能有效控制无效数据驻留时长与磁盘占用，降低缓存系统维护成本。
1、确认 Laravel-MongoDB 配置中缓存集合名为 cache，并在 MongoDB 中为该集合的 expires_at 字段建立 TTL 索引。
2、在 MongoStore::put() 方法中，确保每次写入缓存时都写入带时间戳的 expires_at 字段，值为当前时间加 TTL 秒数。
3、对空值缓存项，同样写入 expires_at，但其 TTL 应显著短于正常数据（如 5 分钟 vs 1 小时）。
4、MongoDB 后台线程将按索引规则自动清理已过期的空值文档，无需应用层干预。
五、安全缓存键生成与输入隔离
非法或污染的缓存键可能导致绕过布隆过滤器或空值缓存逻辑，因此必须从源头杜绝用户可控数据直接参与键构造，防止缓存穿透被间接触发。
1、禁止将原始用户输入（如 URL 参数、表单字段）未经处理直接拼接为缓存键。
2、对所有键组成部分执行 array_values() 与 md5(serialize($params))，确保键结构稳定且不可预测。
3、为敏感参数（如用户 ID）添加哈希脱敏层，例如使用 hash_hmac('sha256', $userId, config('app.key')) 替代明文。
4、在缓存键前缀中加入命名空间标识，如 'prod:cache:user:'. $hashedId，避免跨环境或跨业务键冲突。
