Redis 6.0 ACL
期待已久的ACL终于来了，大家知道在redis集群中只有一个db，在多项目操作时可以通过key前缀来区分，但是还是能获取其它key，这样就带来了安全风险.
Access Control Lists ACL
在之前 登录可以AUTH pwd 有了ACL后AUTH user pwd
ACL LIST
我们可以使用 ACL LIST 命令来检查当前活动的 ACL
> ACL LIST
1) "user default on nopass ~* +@all"
user 代表是用户
default 代表默认用户（反之 为自己创建的用户）
on 代表激活（反之off,默认新增的为off）
nopass 代表不需要密码
~* 代表可以访问的key
+@all 代表可以操作的command
key
~<pattern> ~* 所有key
allkeys 别名 ~*
resetkeys 刷新允许的键模式列表
可以多个一起使用，如：
~foo:* ~bar:* resetkeys ~objects:*
只能访问 ~objects:*
command
+<command> 添加命令
-<command> 移除命令
+@<category> 添加一类命令，如：@admin, @set, @sortedset, ... 可以ACL CAT 查看
如：+@geo -@readonly 会排除geo的只读命令
-@<category> 移除一类命令
+<command>|subcommand 允许一个特定的子命令，没有-<command>|subcommand
allcommands 所有cmd 别名 +@all
nocommands 别名 -@all
配置密码
>pwd 添加密码列表
<pwd 移除密码列表
#hash 添加SHA-256值
!hash 移除SHA-256值
nopass 移除所有密码
resetpass 刷新密码列表，并且也不会回到nopass 状态，之后一定要添加密码
没有使用nopass标记的用户并且没有有效密码列表 是不能登录的
reset 重置用户 实际上是执行 resetpass, resetkeys, off, -@all
另外，在默认用户的特殊情况下，拥有 nopass 规则意味着新的连接将通过默认用户的自动身份验证，而不需要任何显式的 AUTH 调用。
ACL CAT
第一大类
127.0.0.1:0>ACL CAT
1) "keyspace"
2) "read"
3) "write"
4) "set"
5) "sortedset"
6) "list"
7) "hash"
8) "string"
9) "bitmap"
10) "hyperloglog"
11) "geo"
12) "stream"
13) "pubsub"
14) "admin"
15) "fast"
16) "slow"
17) "blocking"
18) "dangerous"
19) "connection"
20) "transaction"
21) "scripting"
127.0.0.1:0>ACL CAT set
1) "spop"
2) "sunionstore"
3) "sinter"
4) "sdiffstore"
5) "sscan"
6) "sunion"
7) "smembers"
8) "sinterstore"
9) "sismember"
10) "smove"
11) "srem"
12) "sdiff"
13) "srandmember"
14) "sort"
15) "sadd"
16) "scard"
ACL SETUSER
添加用户 - 区分大小写
ACL SETUSER alice
检查一下默认的用户状态:
> ACL LIST
1) "user alice off -@all"
2) "user default on nopass ~* +@all"
设置密码
ACL SETUSER alice on >p1pp0 ~cached:* +get
> AUTH alice p1pp0
OK
> GET foo
(error) NOPERM this user has no permissions to access one of the keys used as arguments
> GET cached:1234
(nil)
> SET cached:1234 zap
(error) NOPERM this user has no permissions to run the 'set' command or its subcommnad
查看单独用户
打开一个新的连接
> ACL GETUSER alice
1) "flags"
2) 1) "on"
3) "passwords"
4) 1) "2d9c75..."
5) "commands"
6) "-@all +get"
7) "keys"
8) 1) "cached:*"
返回 field-value 数组
如果使用RESP3
> ACL GETUSER alice
1# "flags" => 1~ "on"
2# "passwords" => 1) "2d9c75..."
3# "commands" => "-@all +get"
4# "keys" => 1) "cached:*"
新增权限
ACL SETUSER alice ~objects:* ~items:* ~public:*
> ACL LIST
1) "user alice on #2d9c75... ~cached:* ~objects:* ~items:* ~public:* -@all +get"
2) "user default on nopass ~* +@all"
ACL SETUSER alice +set
ACL SETUSER alice +get
> ACL LIST
1) "user alice on #2d9c75... ~cached:* ~objects:* ~items:* ~public:* -@all +get +set"
2) "user default on nopass ~* +@all"
其它
ACL GENPASS
生成随机数、密码
redis.conf
配置文件中可以保存用户信息
如： user worker +@list +@connection ~jobs:* on >ffa9203c493aa99
也可以指定外部acl文件信息
如：aclfile /etc/redis/users.acl
ACL LOAD 重置加载acl文件（如果你修改了acl文件）
ACL SAVE 保存acl文件
哨兵和副本
略...
