# Redis 用户名查找和认证配置指南

**问题日期：** 2026年2月22日  
**环境：** juwan namespace  
**Redis 版本：** 7.0.12  
**部署模式：** RedisReplication (OpsTree Operator)

---

## 📋 目录

1. [问题背景](#问题背景)
2. [Redis 认证机制演进](#redis-认证机制演进)
3. [诊断过程](#诊断过程)
4. [用户名发现结果](#用户名发现结果)
5. [各语言连接配置](#各语言连接配置)
6. [常见问题解答](#常见问题解答)
7. [安全建议](#安全建议)

---

## 🎯 问题背景

### 问题描述
在配置应用连接 Redis 时，发现只有密码信息（存储在 Kubernetes Secret `user-redis` 中），但不清楚：
- Redis 是否需要用户名？
- 如果需要，用户名是什么？
- 如何查找 Redis 的用户名配置？

### 初始已知信息
```yaml
Secret: user-redis
Namespace: juwan
Key: password
Value: (base64 编码的密码)
```

### 疑问
- 使用 RedisInsight 等管理工具时，Username 字段应该填什么？
- 应用代码中是否需要配置 Username？
- 不同 Redis 版本的认证方式是否有差异？

---

## 📚 Redis 认证机制演进

### Redis 6.0 之前：传统密码认证

**特点：**
- ❌ 不支持多用户
- ✅ 只需配置一个全局密码
- 🔧 配置项：`requirepass`
- 👤 隐式用户名：`default`（客户端不需要指定）

**配置示例：**
```conf
# redis.conf
requirepass mypassword
```

**连接方式：**
```bash
# 只需要密码
redis-cli -h host -p 6379 -a mypassword

# 或使用 AUTH 命令
redis-cli -h host -p 6379
> AUTH mypassword
```

**优点：**
- ✅ 配置简单
- ✅ 向后兼容

**缺点：**
- ❌ 所有客户端共享同一密码
- ❌ 无法区分不同应用的访问权限
- ❌ 无法限制特定命令
- ❌ 审计困难

---

### Redis 6.0+：ACL（访问控制列表）

**引入时间：** Redis 6.0 (2020年5月)

**新特性：**
- ✅ 支持多用户
- ✅ 每个用户有独立的密码
- ✅ 细粒度权限控制（命令、key、channel）
- ✅ 默认用户 `default` 兼容旧版本
- ✅ 支持运行时动态修改

**架构对比：**
```
传统模式：
┌─────────────┐
│  所有客户端  │
└──────┬──────┘
       │ (一个密码)
       ↓
┌─────────────┐
│    Redis    │
│  (全权限)   │
└─────────────┘

ACL 模式：
┌────────┐  ┌────────┐  ┌────────┐
│ App A  │  │ App B  │  │ Admin  │
└───┬────┘  └───┬────┘  └───┬────┘
    │ user1     │ user2     │ admin
    │ (读写)    │ (只读)    │ (全部)
    ↓           ↓           ↓
┌───────────────────────────────┐
│           Redis ACL           │
│  user1: +@write +@read       │
│  user2: +@read ~cache:*      │
│  admin: +@all ~*             │
└───────────────────────────────┘
```

**ACL 规则语法：**
```
user <username> on <password> ~<keypattern> +<command>

示例：
user alice on >secret123 ~* +@all        # 全部权限
user bob on >pass456 ~cache:* +get +set  # 只能操作 cache:* 的 key
user readonly on >readonly ~* +@read -@write  # 只读权限
```

---

## 🔍 诊断过程

### 步骤 1：确认 Pod 容器名称

**目的：** 找到 Redis 容器的正确名称，以便执行命令

**命令：**
```bash
kubectl get pod user-redis-0 -n juwan -o jsonpath='{.spec.containers[*].name}'
```

**输出：**
```
user-redis redis-exporter
```

**分析：**
- ✅ Pod 中有 2 个容器
- 📦 `user-redis`：Redis 主容器
- 📊 `redis-exporter`：Prometheus 监控容器
- 🎯 **需要连接到 `user-redis` 容器**

**关键信息：**
```yaml
Pod: user-redis-0
Containers:
  - name: user-redis      # ← Redis 服务容器
    image: quay.io/opstree/redis:v7.0.12
    port: 6379
  - name: redis-exporter  # ← 监控容器
    image: quay.io/opstree/redis-exporter
    port: 9121
```

---

### 步骤 2：获取 Redis 密码

**目的：** 从 Kubernetes Secret 中提取密码，用于认证

**命令：**
```bash
kubectl get secret user-redis -n juwan -o jsonpath='{.data.password}' | base64 -d
```

**输出：**
```
<密码内容>  # 实际密码已隐藏
```

**说明：**
- Secret 中的数据以 base64 编码存储
- 需要解码才能得到明文密码
- `base64 -d` 在 Linux/Mac 上；Windows PowerShell 需要用其他方法

**Windows PowerShell 解码方法：**
```powershell
$encoded = kubectl get secret user-redis -n juwan -o jsonpath='{.data.password}'
[System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String($encoded))
```

---

### 步骤 3：检查 ACL 配置（关键步骤）

**目的：** 查询 Redis 的用户配置，确认是否启用 ACL 以及有哪些用户

**命令：**
```bash
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a $(kubectl get secret user-redis -n juwan -o jsonpath='{.data.password}' | base64 -d) \
  ACL LIST
```

**命令解析：**
```bash
kubectl exec -it user-redis-0 \     # 在 user-redis-0 Pod 中执行命令
  -n juwan \                         # 命名空间
  -c user-redis \                    # 指定容器
  -- \                               # 分隔符
  redis-cli \                         # Redis 命令行工具
  -a $(kubectl get secret ...) \     # 使用密码认证
  ACL LIST                           # 列出所有 ACL 用户
```

**输出：**
```
Warning: Using a password with '-a' or '-u' option on the command line interface may not be safe.
1) "user default on #e3e7d4b9413497efc274c747b2ee88023e00e6416080db92c7bdd49a73f32d3d ~* &* +@all"
```

**输出分析：**

#### 警告信息
```
Warning: Using a password with '-a' option on the command line interface may not be safe.
```
- ⚠️ 安全提醒：命令行中的密码可能被历史记录或进程列表泄露
- 💡 生产环境建议：使用配置文件或环境变量传递密码

#### ACL 规则详解
```
user default on #e3e7d4b...73f32d3d ~* &* +@all
|    |       |  |                    |  |  |
|    |       |  |                    |  |  └─ 权限：所有命令
|    |       |  |                    |  └──── 所有 Pub/Sub channel
|    |       |  |                    └─────── 所有 key pattern
|    |       |  └──────────────────────────── 密码哈希（SHA256）
|    |       └─────────────────────────────── 状态：已启用
|    └─────────────────────────────────────── 用户名
└──────────────────────────────────────────── 类型：用户
```

**权限标识含义：**

| 标识 | 含义 | 说明 |
|-----|------|------|
| `on` | 用户已启用 | 可以登录 |
| `off` | 用户已禁用 | 无法登录 |
| `~*` | Key Pattern | `*` = 所有 key；`~cache:*` = 只能访问 cache 开头的 key |
| `&*` | Pub/Sub Pattern | `*` = 所有 channel |
| `+@all` | 命令权限 | `@all` = 所有命令；`+get +set` = 只能用 GET/SET |
| `-@dangerous` | 禁止命令组 | 禁止危险命令（FLUSHDB, KEYS 等）|
| `#hash` | 密码哈希 | SHA256 哈希值，不存储明文 |

**命令组示例：**
- `@read`：只读命令（GET, HGET, LRANGE 等）
- `@write`：写入命令（SET, HSET, LPUSH 等）
- `@admin`：管理命令（CONFIG, SHUTDOWN 等）
- `@dangerous`：危险命令（FLUSHALL, KEYS 等）
- `@all`：所有命令

**结论：**
- ✅ Redis 启用了 ACL 模式
- 👤 **用户名是：`default`**
- 🔑 密码已配置（存储为 SHA256 哈希）
- 🔓 权限：完全访问（所有命令、所有 key、所有 channel）

---

### 步骤 4：验证用户名配置

**目的：** 确认 `default` 用户可以正常工作

**方法 1：使用密码（不指定用户名）**
```bash
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a <password> PING
```

**预期输出：**
```
Warning: Using a password with '-a' option on the command line interface may not be safe.
PONG
```

✅ **说明：只提供密码可以正常连接（默认使用 default 用户）**

---

**方法 2：显式指定用户名**
```bash
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli --user default --pass <password> PING
```

**预期输出：**
```
PONG
```

✅ **说明：显式指定 default 用户也可以正常连接**

---

**方法 3：测试错误的用户名**
```bash
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli --user wronguser --pass <password> PING
```

**预期输出：**
```
(error) WRONGPASS invalid username-password pair or user is disabled.
```

❌ **说明：不存在的用户名会认证失败**

---

### 步骤 5：查看完整的 ACL 信息

**目的：** 了解 `default` 用户的详细权限配置

**命令：**
```bash
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a <password> ACL GETUSER default
```

**输出：**
```
 1) "flags"
 2) 1) "on"
    2) "allkeys"
    3) "allchannels"
    4) "allcommands"
 3) "passwords"
 4) 1) "e3e7d4b9413497efc274c747b2ee88023e00e6416080db92c7bdd49a73f32d3d"
 5) "commands"
 6) "+@all"
 7) "keys"
 8) 1) "*"
 9) "channels"
10) 1) "*"
11) "selectors"
12) (empty array)
```

**详细分析：**

| 字段 | 值 | 含义 |
|-----|---|------|
| `flags` | `on, allkeys, allchannels, allcommands` | 用户已启用，可访问所有资源 |
| `passwords` | `e3e7d4b...` (SHA256) | 密码哈希 |
| `commands` | `+@all` | 允许所有命令组 |
| `keys` | `*` | 可访问所有 key |
| `channels` | `*` | 可访问所有 Pub/Sub channel |

**权限总结：**
- ✅ 用户状态：启用（on）
- ✅ 命令权限：所有命令（+@all）
- ✅ Key 权限：所有 key（~*）
- ✅ Channel 权限：所有 channel（&*）
- 🔒 密码：已设置且加密存储

---

## 🎯 用户名发现结果

### 最终结论

#### ✅ 当前 Redis 配置
```yaml
认证模式: ACL (Redis 6.0+)
用户名: default
密码: (存储在 Secret user-redis 中)
权限: 完全访问（超级用户）
状态: 已启用
```

#### 📝 连接参数汇总

| 参数 | 值 | 备注 |
|-----|---|------|
| **用户名** | `default` | 可省略，客户端默认使用 |
| **密码** | `kubectl get secret user-redis -n juwan -o jsonpath='{.data.password}' \| base64 -d` | 必需 |
| **Host (集群内)** | `user-redis-master.juwan.svc.cluster.local` | 写操作 |
| **Host (集群内)** | `user-redis-replica.juwan.svc.cluster.local` | 读操作 |
| **Host (Sentinel)** | `user-redis-sentinel-sentinel.juwan.svc.cluster.local` | 推荐 |
| **Port** | `6379` | Redis 数据端口 |
| **Sentinel Port** | `26379` | Sentinel 端口 |

---

### 为什么大多数情况不需要指定用户名？

#### Redis 客户端的默认行为

1. **向后兼容**
   ```
   Redis 6.0+ 保持了与旧版本的兼容性
   当客户端只提供密码时，自动使用 'default' 用户
   ```

2. **客户端实现**
   ```go
   // go-redis 内部逻辑（伪代码）
   if password != "" && username == "" {
       username = "default"  // 自动补全
   }
   ```

3. **AUTH 命令演进**
   ```bash
   # Redis 5.x 及之前
   AUTH password              # 只有密码
   
   # Redis 6.0+（向后兼容）
   AUTH password              # 等价于 AUTH default password
   AUTH username password     # 新格式
   ```

#### 何时需要显式指定用户名？

| 场景 | 是否需要 | 原因 |
|-----|---------|------|
| 使用 `default` 用户 | ❌ 不需要 | 客户端自动使用 |
| 创建了自定义用户 | ✅ 需要 | 必须明确指定 |
| 多应用共享 Redis | ✅ 推荐 | 权限隔离 |
| 审计需求 | ✅ 推荐 | 区分访问来源 |
| 管理工具连接 | ⚠️ 可选 | 有些工具要求填写 |

---

## 💻 各语言连接配置

### Go (go-redis)

#### 方式 1：只用密码（推荐）
```go
import "github.com/redis/go-redis/v9"

// 不指定 Username，自动使用 default
rdb := redis.NewClient(&redis.Options{
    Addr:     "user-redis-master.juwan.svc.cluster.local:6379",
    Password: os.Getenv("REDIS_PASSWORD"),  // 只需密码
    DB:       0,
})
```

#### 方式 2：显式指定用户名
```go
// 显式指定 Username（效果相同）
rdb := redis.NewClient(&redis.Options{
    Addr:     "user-redis-master.juwan.svc.cluster.local:6379",
    Username: "default",                    // 明确指定
    Password: os.Getenv("REDIS_PASSWORD"),
    DB:       0,
})
```

#### Sentinel 模式（生产推荐）
```go
// Sentinel 模式也支持用户名
rdb := redis.NewFailoverClient(&redis.FailoverOptions{
    MasterName:    "mymaster",
    SentinelAddrs: []string{
        "user-redis-sentinel-sentinel.juwan.svc.cluster.local:26379",
    },
    // Username 可省略（默认 default）
    Password: os.Getenv("REDIS_PASSWORD"),
    DB:       0,
})
```

---

### Go-Zero 框架

#### 配置文件
```yaml
# app/users/rpc/etc/pb.yaml
Redis:
  Type: sentinel
  MasterName: mymaster
  SentinelAddrs:
    - user-redis-sentinel-sentinel.juwan.svc.cluster.local:26379
  Pass: ${REDIS_PASSWORD}  # 只需密码，不需要用户名
```

#### 如果需要自定义用户
```yaml
Redis:
  Type: sentinel
  MasterName: mymaster
  SentinelAddrs:
    - user-redis-sentinel-sentinel.juwan.svc.cluster.local:26379
  Username: default  # 可选：显式指定
  Pass: ${REDIS_PASSWORD}
```

---

### Python (redis-py)

#### 只用密码
```python
import redis

# 不指定 username
r = redis.Redis(
    host='user-redis-master.juwan.svc.cluster.local',
    port=6379,
    password=os.getenv('REDIS_PASSWORD'),  # 只需密码
    db=0
)
```

#### 显式指定用户名（redis-py 4.3+）
```python
# 显式指定 username
r = redis.Redis(
    host='user-redis-master.juwan.svc.cluster.local',
    port=6379,
    username='default',  # 明确指定
    password=os.getenv('REDIS_PASSWORD'),
    db=0
)
```

#### Sentinel 模式
```python
from redis.sentinel import Sentinel

sentinel = Sentinel([
    ('user-redis-sentinel-sentinel.juwan.svc.cluster.local', 26379)
])

# 获取主节点（不指定 username）
master = sentinel.master_for(
    'mymaster',
    password=os.getenv('REDIS_PASSWORD')
)

# 或显式指定
master = sentinel.master_for(
    'mymaster',
    username='default',
    password=os.getenv('REDIS_PASSWORD')
)
```

---

### Java (Spring Data Redis)

#### application.yml（只用密码）
```yaml
spring:
  redis:
    password: ${REDIS_PASSWORD}  # 只需密码
    sentinel:
      master: mymaster
      nodes:
        - user-redis-sentinel-sentinel.juwan.svc.cluster.local:26379
```

#### 显式指定用户名（Spring Boot 2.6+）
```yaml
spring:
  redis:
    username: default           # 可选
    password: ${REDIS_PASSWORD}
    sentinel:
      master: mymaster
      nodes:
        - user-redis-sentinel-sentinel.juwan.svc.cluster.local:26379
```

#### Java 代码（Jedis）
```java
// 只用密码
JedisPoolConfig poolConfig = new JedisPoolConfig();
JedisPool pool = new JedisPool(
    poolConfig,
    "user-redis-master.juwan.svc.cluster.local",
    6379,
    2000,
    "password"  // 只需密码
);

// 显式指定用户名（Jedis 4.0+）
JedisPool pool = new JedisPool(
    poolConfig,
    "user-redis-master.juwan.svc.cluster.local",
    6379,
    2000,
    "default",   // 用户名
    "password"   // 密码
);
```

---

### Node.js (ioredis)

#### 只用密码
```javascript
const Redis = require('ioredis');

// 不指定 username
const redis = new Redis({
  host: 'user-redis-master.juwan.svc.cluster.local',
  port: 6379,
  password: process.env.REDIS_PASSWORD,  // 只需密码
});
```

#### 显式指定用户名（ioredis 4.0+）
```javascript
// 显式指定 username
const redis = new Redis({
  host: 'user-redis-master.juwan.svc.cluster.local',
  port: 6379,
  username: 'default',  // 明确指定
  password: process.env.REDIS_PASSWORD,
});
```

#### Sentinel 模式
```javascript
const redis = new Redis({
  sentinels: [
    { 
      host: 'user-redis-sentinel-sentinel.juwan.svc.cluster.local', 
      port: 26379 
    }
  ],
  name: 'mymaster',
  password: process.env.REDIS_PASSWORD,  // username 可省略
});
```

---

### redis-cli 命令行

#### 只用密码
```bash
# 方式 1：命令行参数
redis-cli -h user-redis-master.juwan.svc.cluster.local -p 6379 -a <password>

# 方式 2：交互式登录
redis-cli -h user-redis-master.juwan.svc.cluster.local -p 6379
> AUTH <password>
OK
```

#### 显式指定用户名
```bash
# 方式 1：命令行参数
redis-cli -h host -p 6379 --user default --pass <password>

# 方式 2：交互式登录
redis-cli -h host -p 6379
> AUTH default <password>
OK
```

---

## 🛠️ 管理工具配置

### RedisInsight

**配置示例：**
```
Name: juwan-user-redis
Host: localhost (使用 kubectl port-forward)
Port: 6379
Username: default  ← 填这个（或留空）
Password: <从 Secret 获取>
```

**说明：**
- ✅ Username 可以填 `default`
- ✅ Username 也可以留空（某些版本支持）
- 🔧 建议先 port-forward：`kubectl port-forward -n juwan svc/user-redis-master 6379:6379`

---

### Redis Commander

**Docker 运行：**
```bash
docker run -d \
  -e REDIS_HOSTS=juwan:user-redis-master.juwan.svc.cluster.local:6379:0:password \
  -p 8081:8081 \
  rediscommander/redis-commander
```

**URL 格式：**
```
# 不带用户名
redis://:<password>@host:6379

# 带用户名
redis://default:<password>@host:6379
```

---

### Another Redis Desktop Manager

**连接配置：**
```json
{
  "name": "juwan-redis",
  "host": "localhost",
  "port": 6379,
  "auth": "password",      // 只需密码
  "username": ""           // 留空（或填 "default"）
}
```

---

## ❓ 常见问题解答

### Q1: 为什么有些地方说 Redis 不需要用户名？

**A:** 这取决于 Redis 版本：

```
Redis 5.x 及之前:
└─ ❌ 不支持用户名，只有全局密码
   └─ 配置：requirepass password

Redis 6.0+:
└─ ✅ 支持 ACL 多用户
   └─ 但保持向后兼容
      └─ 如果只提供密码，自动使用 'default' 用户
```

### Q2: 我的 Redis 是哪个版本？

**查看方法：**
```bash
kubectl exec -it user-redis-0 -n juwan -c user-redis -- redis-cli -v
# 或
kubectl exec -it user-redis-0 -n juwan -c user-redis -- redis-server --version
```

**你的环境：**
```
Redis 7.0.12 (quay.io/opstree/redis:v7.0.12)
✅ 支持 ACL
✅ 用户名: default
```

### Q3: 如何创建自定义用户？

**场景：** 为不同应用创建独立的用户账号

#### 创建只读用户
```bash
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a <password> ACL SETUSER readonly on \
  '>readonly_password' \
  ~* \
  +@read -@write -@dangerous
```

**验证：**
```bash
# 使用新用户登录
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli --user readonly --pass readonly_password GET somekey

# 尝试写操作（应该失败）
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli --user readonly --pass readonly_password SET somekey value
# (error) NOPERM User has no permissions to run the 'set' command
```

#### 创建应用专用用户
```bash
# 只能访问 app:* 开头的 key
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a <password> ACL SETUSER app_user on \
  '>app_password' \
  ~app:* \
  +@all
```

#### 保存 ACL 配置
```bash
# 持久化到配置文件
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a <password> ACL SAVE
```

⚠️ **注意：** 在 Kubernetes 环境中，Pod 重启可能丢失 ACL 配置。建议：
1. 使用 ConfigMap 存储 ACL 配置
2. 在 StatefulSet 启动脚本中加载配置
3. 或使用 Redis Operator 的 ACL 管理功能

### Q4: 如何查看所有用户？

```bash
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a <password> ACL LIST
```

### Q5: 如何重置用户密码？

#### 重置 default 用户密码
```bash
# 1. 生成新密码
NEW_PASSWORD=$(openssl rand -base64 32)

# 2. 在 Redis 中更新
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a <old_password> ACL SETUSER default ">$NEW_PASSWORD"

# 3. 更新 Kubernetes Secret
kubectl create secret generic user-redis \
  --from-literal=password=$NEW_PASSWORD \
  --dry-run=client -o yaml | kubectl apply -f -

# 4. 重启应用 Pods（使新密码生效）
kubectl rollout restart deployment/user-rpc -n juwan
```

### Q6: 客户端报错 "WRONGPASS invalid username-password pair"

**可能原因：**

1. **密码错误**
   ```bash
   # 验证密码
   kubectl get secret user-redis -n juwan -o jsonpath='{.data.password}' | base64 -d
   ```

2. **用户名错误**
   ```bash
   # 检查用户是否存在
   kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
     redis-cli -a <admin_password> ACL LIST
   ```

3. **用户被禁用**
   ```bash
   # 启用用户
   kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
     redis-cli -a <admin_password> ACL SETUSER default on
   ```

4. **网络连接到了错误的 Redis 实例**
   ```bash
   # 确认连接的主机
   kubectl get svc -n juwan | grep redis
   ```

### Q7: 在 Kubernetes 中如何安全地传递密码？

**推荐方案：环境变量 + Secret**

```yaml
# Deployment
apiVersion: apps/v1
kind: Deployment
metadata:
  name: user-rpc
spec:
  template:
    spec:
      containers:
      - name: user-rpc
        env:
          - name: REDIS_PASSWORD
            valueFrom:
              secretKeyRef:
                name: user-redis
                key: password
```

**应用代码：**
```go
// 从环境变量读取
password := os.Getenv("REDIS_PASSWORD")

rdb := redis.NewClient(&redis.Options{
    Addr:     "user-redis-master.juwan.svc.cluster.local:6379",
    Password: password,
})
```

**❌ 不推荐：**
```yaml
# 不要在配置文件中硬编码密码
Redis:
  Password: "hardcoded_password"  # ❌ 不安全
```

---

## 🔒 安全建议

### 1. 密码强度

**检查当前密码强度：**
```bash
PASSWORD=$(kubectl get secret user-redis -n juwan -o jsonpath='{.data.password}' | base64 -d)
echo "密码长度: ${#PASSWORD}"
```

**推荐：**
- ✅ 至少 32 字符
- ✅ 包含大小写字母、数字、特殊字符
- ✅ 使用密码生成器：`openssl rand -base64 32`

### 2. 权限最小化

**不要所有应用都用 default 超级用户！**

```bash
# 为不同应用创建独立用户
# 用户 A：只能读写自己的 key
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a <password> ACL SETUSER app_a on \
  '>password_a' ~app_a:* +@all

# 用户 B：只读
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a <password> ACL SETUSER app_b on \
  '>password_b' ~* +@read
```

### 3. 禁止危险命令

**即使是 default 用户，也应该限制危险命令：**

```bash
# 禁止 FLUSHALL, FLUSHDB, KEYS 等命令
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a <password> ACL SETUSER default -flushall -flushdb -keys

# 查看限制后的权限
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a <password> ACL GETUSER default
```

### 4. 审计日志

**启用 ACL 日志记录：**
```bash
# 查看最近的 ACL 事件
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a <password> ACL LOG 10

# 输出示例：
# 1) reason: auth
#    username: default
#    timestamp: 1234567890
```

### 5. 定期轮换密码

**建议：每 90 天轮换一次**

```bash
#!/bin/bash
# rotate-redis-password.sh

# 1. 生成新密码
NEW_PWD=$(openssl rand -base64 32)

# 2. 更新 Redis
kubectl exec -it user-redis-0 -n juwan -c user-redis -- \
  redis-cli -a "$OLD_PWD" ACL SETUSER default ">$NEW_PWD"

# 3. 更新 Secret
kubectl create secret generic user-redis \
  --from-literal=password="$NEW_PWD" \
  -n juwan --dry-run=client -o yaml | kubectl apply -f -

# 4. 滚动重启应用
kubectl rollout restart deployment/user-rpc -n juwan

echo "密码已轮换，新密码: $NEW_PWD"
```

### 6. 网络隔离

**NetworkPolicy 限制访问：**
```yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: redis-access-policy
  namespace: juwan
spec:
  podSelector:
    matchLabels:
      app: user-redis
  policyTypes:
    - Ingress
  ingress:
    # 只允许 user-rpc 访问
    - from:
      - podSelector:
          matchLabels:
            app: user-rpc
      ports:
      - protocol: TCP
        port: 6379
```

---

## 📝 总结

### 核心发现

| 项目 | 值 |
|-----|---|
| 认证模式 | ✅ ACL (Redis 6.0+) |
| 用户名 | `default` |
| 密码位置 | Secret `user-redis` in namespace `juwan` |
| 权限级别 | 超级用户（+@all ~* &*） |
| 是否必须指定用户名 | ❌ 不必须（客户端默认使用 default） |

### 最佳实践

1. **开发/测试环境**
   ```yaml
   # 简单配置即可
   Password: <from_secret>
   # Username 省略
   ```

2. **生产环境（推荐）**
   ```yaml
   # 为每个应用创建独立用户
   Username: app_user
   Password: <dedicated_password>
   # 限制权限和 key 范围
   ```

3. **连接方式**
   ```
   ⭐⭐⭐ Sentinel 模式（推荐）
   - 自动故障转移
   - 高可用
   - 只需密码（username 可省略）
   ```

---

**文档版本：** 1.0  
**创建日期：** 2026年2月22日  
**维护者：** DevOps Team  
**下次审查：** 2026年3月22日