security - 如果我只想使用 redis pubsub 创建一些实时客户端功能，那么直接从客户端连接到 redis 是否安全？

Question

我正在尝试创建一个具有一些实时功能的 Flash 应用程序，并且想使用 Redis 的 pubsub 功能，它非常适合我的需要。

我知道直接从客户端连接到数据存储几乎总是不好的。这对安全有何影响(因为我不是 Redis 专家)，是否有解决方法？根据我的阅读，可能存在执行配置集和更改 rdb 文件位置并能够任意覆盖文件的漏洞。还有别的事吗？ (如果我根本不将那个特定的 redis 实例用于任何，即没有存储数据)

我知道另一种方法是编写一些自定义套接字服务器程序，并让它充当连接到 Redis 和发出命令的中介层——这是我希望尽可能避免编写的工作。

** 编辑 **

刚刚了解了 rename-command 配置以禁用命令。如果我禁用 redis 实例上的每个命令并只打开 SUBSCRIBE 和 PUBLISH，这是否足以在生产环境中运行？

Answer 1

我认为将您的客户端直接连接到 Redis 不是一个好主意。 Redis 提供了一个 authentication system仅针对唯一用户。它希望此用户成为您的服务器应用程序。

在我看来，直接暴露 Redis 总是一个坏主意。它将允许任何人访问您的所有数据。这是 confirmed by the Redis doc .

因此您将不可避免地添加或开发应用的服务器端。