redis集群必须为所有节点统一配置相同密码：各节点redis.conf中均需显式设置完全一致的requirepass（含大小写、空格、特殊字符），且须重启生效；客户端连接集群时必须显式传入密码参数，否则moved/ask重定向将因noauth失败。
Redis集群必须为每个节点统一配置密码
Redis集群不支持“部分节点有密码、部分没有”的混合状态，只要任一节点未配置密码，整个集群就可能被绕过认证直接访问。密码必须在所有主从节点的 redis.conf 中显式设置 requirepass，且值完全一致——包括大小写、空格和特殊字符。
常见错误现象：集群启动后出现 CLUSTERDOWN Hash slot not served 或客户端连接后执行 CLUSTER NODES 显示节点状态为 fail，往往是因为某台从节点没配密码，导致主节点拒绝与其握手。
- 修改每台服务器上的
redis.conf，取消注释并设置：requirepass YourStrongPass123!* - 确保所有节点（含 master 和 slave）都使用同一份密码字符串，不能仅靠
CONFIG SET临时设置——集群初始化时只读取配置文件 - 重启所有节点前，先用
redis-cli -a YourStrongPass123!* ping验证单点连通性，避免集群启动卡在认证环节
集群客户端连接必须显式传入密码参数
标准 Redis 客户端（如 redis-cli、Jedis、redis-py）在连接集群时，默认不会将密码透传到每个分片节点。若只在 URL 中带密码（如 redis://:pwd@host:7001），仅能连上入口节点，后续 MOVED/ASK 重定向请求会因无认证失败。
使用场景：Java 应用通过 JedisCluster 连接；Python 用 redis-py 的 RedisCluster；命令行调试需手动指定密码。
-
redis-cli -a YourStrongPass123!* -c -h 192.168.1.100 -p 7001——-c启用集群模式，-a保证密码透传至所有节点 - JedisCluster 构造时需传入
GenericObjectPoolConfig+new JedisPoolConfig()，并在JedisCluster构造函数中指定 password 参数（不是靠 URL） - redis-py 中，
RedisCluster(hosts=[...], password="YourStrongPass123!*")是正确方式；若漏掉password参数，首次命令返回NOAUTH Authentication required即表示认证未生效
ACL 在 Redis 集群中无法替代 requirepass
Redis 6.0+ 的 ACL 功能在集群模式下存在关键限制：ACL 用户定义存储在各节点内存中，不随集群状态同步。你不能在某个节点上执行 ACL SETUSER 就让所有节点自动生效——每个节点必须单独配置、单独加载 ACL 文件，且密码散列值必须一致，否则节点间通信会因 AUTH 失败中断。
Redis 缓存和数据结构管理技能。通过自然语言操作 Redis，支持 String、Hash、List、Set、ZSet、Stream 等数据结构操作。当用户提到 Redis、缓存、消息队列、会话存储时使用此技能。
性能与兼容性影响：ACL 初始化比 requirepass 多一次文件读取和解析开销；集群规模越大，人工维护多节点 ACL 文件一致性越容易出错。
- 生产环境集群建议坚持用
requirepass，它简单、可靠、零同步负担 - 如确需 ACL（例如需要区分运维账号和应用账号），必须对每个节点单独执行
ACL LOAD并验证ACL LIST输出一致 - 不要在集群中混用
requirepass和 ACL 用户认证——Redis 会优先匹配 ACL，但集群握手阶段仍依赖requirepass建立初始连接
防火墙 + bind 双重限制比单纯密码更有效
仅靠密码无法防止扫描器暴力探测或误暴露端口后的撞库攻击。真实生产环境中，密码必须配合网络层收敛，否则等于“锁门却把钥匙挂在门外”。
容易踩的坑：有人以为绑定了 bind 192.168.1.100 就安全了，却忽略了云厂商安全组或宿主机 iptables 未同步放行，导致集群节点之间无法通信；也有人开了防火墙但忘了开放集群总线端口（client port + 10000）。
- 在
redis.conf中设置：bind 192.168.1.100 127.0.0.1（多个 IP 用空格分隔），禁用0.0.0.0 - Linux 主机运行：
iptables -A INPUT -p tcp --dport 7001:7006 -s 192.168.1.0/24 -j ACCEPT（按实际端口范围调整） - 务必同时放行集群总线端口（如 7001 对应 17001）：
iptables -A INPUT -p tcp --dport 17001:17006 -s 192.168.1.0/24 -j ACCEPT
复杂点在于：集群节点发现依赖 TCP 连通性与认证双重校验，任一环节缺失都会导致拓扑不可用。别只盯着密码，网络路径才是第一道防线。
