最近网友热议：Redis默认无密码，安全风险不容忽视
最近几个月，有不少网友在技术论坛和群里分享了自己的经历。比如，2024年4月，一位网友就发现他的测试服务器上的Redis服务因为没设密码，被黑客入侵植入了挖矿程序，导致服务器CPU飙到100%，机器卡得不行。还有更早一些的案例，去年底，有人把带有敏感数据的Redis实例不小心暴露在公网上，由于没密码保护，数据直接被爬走了，造成了不小的损失。这些活生生的例子都在提醒我们，给Redis设置一个密码，真的不是小事，而是保护数据安全的第一道防线。别以为你的服务器没人知道，扫描工具可是24小时不休息的。
设置密码的两种傻瓜式方法，一看就会
给Redis加密码，其实比你想象的要简单得多，根本不用怕。这里有两种最常用、网友普遍都说好的方法。第一种方法，直接修改Redis的配置文件。你找到那个叫 redis.conf 的文件，用记事本或者任何文本编辑器打开它。在里面搜索“requirepass”这个词，你会找到一行类似“# requirepass foobared”的配置。注意，这一行最前面有个‘#’号，意思是这一行被注释掉了，没有生效。你的任务就是把‘#’号删掉，然后把后面的‘foobared’换成你自己想设置的强密码。密码最好复杂点，字母、数字、符号混合一下。改完之后，保存文件，然后重启一下Redis服务，密码就生效了。以后任何客户端连接，都得先输入这个密码才行。
第二种方法，是在Redis服务已经运行的时候，通过命令行直接设置。你可以用redis-cli工具连接上你的Redis服务器，然后输入命令“CONFIG SET requirepass 你的新密码”。比如，输入“CONFIG SET requirepass MyStr0ngP@ss!”，回车，如果返回“OK”，那就说明密码设置成功了。这个方法的好处是马上生效，不用重启服务，特别适合临时修改或者测试。但是要注意，这样设置只会在Redis这次运行期间有效，如果服务重启了，密码又会变回配置文件里的设置或者没有密码。所以，通常建议先用第二种方法测试一下，确认没问题了，还是要把密码老老实实写进配置文件（用第一种方法），这样才能永久生效。
设置完密码后，你必须要做的几件小事
密码设好了，可别以为就万事大吉了。有不少网友就是因为设完密码后没做后续检查，结果还是出了问题。首先，你一定要测试一下密码是不是真的起作用了。怎么测试呢？断开当前的Redis连接，然后用带密码参数的方式重新连接。比如使用命令行工具，可以输入“redis-cli -a 你设置的密码”。如果连接成功，并且能执行操作，那就说明密码生效了。如果提示需要认证，那就说明密码没对上。还有一种测试方法，是先不用密码连接，连接成功后，输入“AUTH 你设置的密码”命令来认证，看到返回“OK”就是成功了。
其次，要管好你的配置文件。那个 redis.conf 文件现在里面存着你的密码明文，一定要确保这个文件的权限设置正确，只允许必要的用户读取，别让不该看的人看到。最好把配置文件放在安全的位置。另外，网友还推荐一个小技巧：在配置文件里改完密码后，可以顺手把Redis的默认端口6379也改一下，改成别的冷门端口号。这样“端口+密码”双保险，能让那些自动扫描工具更难发现和攻击你的Redis服务。最后，别忘了给你用来连接Redis的应用程序也更新密码配置，比如你的网站程序或者后台任务，把旧的连接字符串里的密码换成新的，不然应用程序可就连不上数据库了。
网友私藏的安全锦囊和常见坑点
根据很多网友的亲身实践和踩坑经验，除了设置密码本身，还有一些额外的安全措施和需要注意的地方。一个常见的坑是，有的网友只在配置文件里加了密码，但忘记重启Redis服务了，导致密码根本没生效，还以为自己设置好了，其实数据库大门依然敞开着。所以，改完配置一定要重启服务，或者用“CONFIG REWRITE”命令把当前配置写回文件并确保生效。
还有网友建议，如果条件允许，最好不要把Redis服务直接暴露在互联网上。可以通过防火墙设置，只允许特定的、可信的服务器IP地址来访问Redis的端口。这样即使密码被猜解（虽然概率很低），攻击者也无法直接连接到你的服务。对于非常重要的生产环境，有网友提到可以考虑使用Redis的“保护模式”，这个模式在Redis默认配置下是开启的，当Redis没有设置密码且被检测到是从外网访问时，它会拒绝请求，这算是一道额外的保险。
最后，定期更换密码也是个好习惯，虽然对于Redis来说可能不那么频繁，但如果你有团队成员变动，或者怀疑密码可能泄露了，及时更换是必要的。更换的流程和第一次设置一样，先在配置文件里改好新密码，然后重启服务（或者用CONFIG SET设置后再持久化到配置文件），最后更新所有相关应用程序的连接配置。把这些小事都做到位，你的Redis安全性就会大大提升。
参考来源：本文方法综合自多个技术社区网友的实践经验分享，包括2024年某知名开发者论坛中的《Redis安全加固实战笔记》讨论帖、某云服务商官方文档中关于访问管理的章节，以及GitHub上多个开源项目中关于Redis配置的安全建议。具体操作细节已融合上述来源的共通有效部分。