如何在生产环境配置RedisBloom插件以拦截恶意ID穿透攻击?

星萱君_8919

星萱君_8919

2026-11-05

393人浏览

原创

RedisBloom插件不可在Redis集群中协同工作,必须使用独立单节点部署;所有请求需先经该节点BF.EXISTS校验,再路由至集群查缓存或DB。

如何在生产环境配置redisbloom插件以拦截恶意id穿透攻击?

RedisBloom插件必须在集群模式外独立部署

Redis 集群本身不支持 RedisBloom 插件协同工作。CRC16 分片机制导致每个节点的 bloom 数据无法共享,如果强行在各节点分别加载插件,BF.ADD 写入 A 节点,BF.EXISTS 查询却落到 B 节点,就会返回 false——这直接破坏布隆过滤器“不存在一定不存在”的核心保证。

正确做法是:用单节点 Redis 实例专供布隆过滤器,所有请求先走这个节点做 BF.EXISTS 校验;校验通过后再路由到真正的 Redis 集群查缓存或 DB。这个单节点无需高可用,但必须禁用 maxmemory 策略(避免 LRU 清掉位图),并配置 save "" 关闭 RDB 持久化(布隆数据冷启动预热即可,不依赖磁盘恢复)。

BF.RESERVE 必须显式指定 size 和 error_rate

创建布隆过滤器时不能依赖默认参数。未指定 error_rate 会导致误判率高达 0.05(5%),大量合法请求被误拦;未指定 size 则 RedisBloom 自动按 100 个元素初始化,后续扩容触发 BF.MADD 性能断崖下跌。

生产建议值:

  • 预期容量 size = 1.2 × 合法 ID 总量(留 20% 余量)
  • 误判率 error_rate = 0.01(1%)——再低内存翻倍,收益趋近于零
  • 命令示例:BF.RESERVE user_bf 0.01 1200000

冷启动必须全量预热,且需绕过应用层逻辑

上线首小时若没预热,所有请求都会被 BF.EXISTS 返回 0,等同于全部拦截。不能靠“第一次查 DB 成功后补 BF.ADD”,因为恶意流量会卡在预热完成前打垮 DB。

预热必须离线执行:

Sentinal Redis
Sentinal Redis

监控Redis服务器健康状况、内存、性能及BullMQ队列。检查队列深度、失败任务,分析慢查询并诊断问题。

下载
  • 从主库导出全量 user_id、sku_id 等关键字段,生成文本文件
  • 用 redis-cli --pipe 批量执行:BF.ADD user_bf "123"(注意引号防空格截断)
  • 预热脚本要加失败重试,单条失败不中断整体流程

预热完成后,用 BF.INFO user_bf 核对 Size 和 Items inserted 是否匹配,差值超过 0.1% 就得重来。

Java 客户端调用 BF.EXISTS 时必须处理连接异常和空响应

Spring Boot 项目里用 Lettuce 连接 RedisBloom,常见坑是把 BF.EXISTS 当普通命令用 execute(),结果遇到网络抖动直接抛 RedisCommandTimeoutException,整个请求失败——这等于把布隆过滤器变成了单点故障。

安全写法:

  • 设置超时:Lettuce timeoutCommands 配置为 ≤ 10ms(布隆查询本应微秒级)
  • 降级策略:捕获 RedisException 后默认放行(return true),宁可多查一次缓存,也不能阻断正常流量
  • 空响应兜底:BF.EXISTS 返回 null 或 0L 时,统一按“不存在”处理,避免 NPE

最易被忽略的一点:预热脚本跑完不代表线上生效。RedisBloom 的位图结构在不同版本间有兼容性差异,Redis 8.2.3 修复了 CVE-2025-62507 后,旧版预热数据可能被拒绝读取——上线前务必在同版本环境验证 BF.INFO 输出是否正常。

相关文章

PHP速学视频免费教程(入门到精通)
PHP速学视频免费教程(入门到精通)

PHP怎么学习?PHP怎么入门?PHP在哪学?PHP怎么学才快?不用担心,这里为大家提供了PHP速学教程(入门到精通),有需要的小伙伴保存下载就能学习啦!

下载

相关标签:

redis 环境配置

本站声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn

相关专题

更多
常用的数据库软件
常用的数据库软件

常用的数据库软件有MySQL、Oracle、SQL Server、PostgreSQL、MongoDB、Redis、Cassandra、Hadoop、Spark和Amazon DynamoDB。更多关于数据库软件的内容详情请看本专题下面的文章。php中文网欢迎大家前来学习。

2023.11.02

4809

19

内存数据库有哪些
内存数据库有哪些

内存数据库有Redis、Memcached、Apache Ignite、VoltDB、TimesTen、H2 Database、Aerospike、Oracle TimesTen In-Memory Database、SAP HANA和ache Cassandra。更多关于内存数据库相关问题,详情请看本专题下面的文章。php中文网欢迎大家前来学习。

2023.11.14

4375

11

mongodb和redis哪个读取速度快
mongodb和redis哪个读取速度快

redis 的读取速度比 mongodb 更快。原因包括:1. redis 使用简单的键值存储,而 mongodb 存储 json 格式的数据,需要解析和反序列化。2. redis 使用哈希表快速查找数据,而 mongodb 使用 b-tree 索引。因此,redis 在需要高性能读取操作的应用程序中是一个更好的选择。本专题为大家提供相关的文章、下载、课程内容,供大家免费下载体验。

2024.04.02

8352

6

redis怎么做缓存服务器
redis怎么做缓存服务器

redis 作为缓存服务器的答案:redis 是一款开源、高性能、分布式的键值存储,可作为缓存服务器使用。本专题为大家提供相关的文章、下载、课程内容,供大家免费下载体验。

2024.04.07

663

6

redis怎么解决数据一致性
redis怎么解决数据一致性

redis 提供了两种一致性模型,以维护副本数据一致性:强一致性 (sync) 确保写操作仅在复制到所有从节点后才完成;最终一致性 (async) 则在主节点上写操作后认为已完成,牺牲一致性换取性能。本专题为大家提供相关的文章、下载、课程内容,供大家免费下载体验。

2024.04.07

776

6

mysql和redis怎么保证双写一致性
mysql和redis怎么保证双写一致性

确保 mysql 和 redis 双写一致性的技术包括:1、事务性更新:同时更新 mysql 和 redis,保证一致性;2、主从复制:mysql 主服务器更改同步到 redis 从服务器;3、基于事件的更新:mysql 记录更改并发送到 redis等等。本专题为大家提供相关的文章、下载、课程内容,供大家免费下载体验。

2024.04.07

8562

6

redis缓存一般存些什么数据
redis缓存一般存些什么数据

redis缓存中存储的数据类型包括:字符串、哈希、列表、集合、有序集合、位图、地理空间数据和hyperloglog。这些数据类型适用于存储各种数据,从简单信息到复杂对象和地理位置。本专题为大家提供相关的文章、下载、课程内容,供大家免费下载体验。

2024.04.07

1180

6

redis的8种数据类型有哪些
redis的8种数据类型有哪些

redis 提供 8 种数据类型:字符串(文本、数字、二进制)、哈希(键值对)、列表(有序集合)、集合(无序唯一元素)、有序集合(按分数排序)、地理空间(地理位置)、hyperloglog(估计大数据基数)和位图(位序列存储)。本专题为大家提供相关的文章、下载、课程内容,供大家免费下载体验。

2024.04.07

1316

6

redis主要作用有哪些
redis主要作用有哪些

redis 的主要作用包括:1. 缓存数据,提高访问速度;2. 充当消息队列,实现消息传递;3. 存储各种数据类型,如字符串、散列和集合;4. 管理会话信息,确保可靠性和可用性;5. 限制请求速率,防止服务器超载等等。本专题为大家提供相关的文章、下载、课程内容,供大家免费下载体验。

2024.04.07

7358

6

热门下载

更多
网站特效
/
网站源码
/
网站素材
/
前端模板

精品课程

更多
相关推荐
/
热门推荐
/
最新课程
phpEnv手册
phpEnv手册

共0课时 | 0人学习