最近线上发生的几个坑

2024-06-18 01:51:16

最近线上发生的几个坑

黑帐篷的毡片

某天的下午工作时间，我听着轻音乐在写业务（其实是在摸鱼），突然看到群里风控小组有人@我，内心惊呼：难道项目出问题了？打开文件查看，原来是 Nacos 的问题。

煮茶的残火

问题 1：

Nacos 竟然没有配置权限认证！，这个错误属实不应该，只能屁颠屁颠去改了。其实操作起来也简单，本项目 Nacos 是单机版，直接修改 Nacos 中的 conf 文件夹下面的 application.properties 配置文件。

官方文档是这么描述的：

注意

Nacos 是一个内部微服务组件，需要在可信的内部网络中运行，不可暴露在公网环境，防止带来安全风险。
Nacos 提供简单的鉴权实现，为防止业务错用的弱鉴权体系，不是防止恶意攻击的强鉴权体系。
如果运行在不可信的网络环境或者有强鉴权诉求，请参考官方简单实现做替换增强。

服务端开启鉴权

nacos.core.auth.enabled=true

yml 配置文件 nacos 配置项中添加如下配置：

nacos.config.username: xxx
nacos.config.password: xxx

开启服务身份识别功能

开启鉴权功能后，服务端之间的请求也会通过鉴权系统的影响。考虑到服务端之间的通信应该是可信的，因此在1.2~1.4.0版本期间，通过User-Agent中是否包含Nacos-Server来进行判断请求是否来自其他服务端。

但这种实现由于过于简单且固定，导致可能存在安全问题。因此从1.4.1版本开始，Nacos添加服务身份识别功能，用户可以自行配置服务端的Identity，不再使用User-Agent作为服务端请求的判断标准。

开启方式:

### 开启鉴权
nacos.core.auth.enabled=true### 关闭使用user-agent判断服务端请求并放行鉴权的功能
nacos.core.auth.enable.userAgentAuthWhite=false### 配置自定义身份识别的key（不可为空）和value（不可为空）
nacos.core.auth.server.identity.key=example
nacos.core.auth.server.identity.value=example

冬天的雪花

问题 2：

Nacos 未开启访问权限控制，导致没有对用户输入的数据进行全面安全检查或过滤，没有进行访问权限的过滤。

如图所示：

修改方案同上，或者升级 Nacos 到安全稳定的版本并开启权限控制。

最近线上发生的几个坑相关推荐

IDEA DEBUG 启动慢，启动卡死，本地IDEA环境，千万千万不要在方法上打断点！太坑了！
本地IDEA环境,千万千万不要在方法上打断点!太坑了! 文章目录本地IDEA环境,千万千万不要在方法上打断点!太坑了! **到底为什么** **意外收获** 结语上周遇到了一个莫名其妙的搞心态的问 ...
线上发生死锁异常了，该怎么办
前言 MySQL 死锁异常是我们经常会遇到的线上异常类别,一旦线上业务日间复杂,各种业务操作之间往往会产生锁冲突,有些会导致死锁异常.这种死锁异常一般要在特定时间特定数据和特定业务操作才会复现,并且分 ...
XEvent--Demo--使用XEvent来捕获在数据库DB1上发生的锁请求和锁释放
--============================================================== --使用XEvent来捕获在数据库DB1上发生的锁请求和锁释放 --= ...
下载丨10月数据库技术通讯：HAIP在两个私网网卡上发生互换，导致ASM实例启动失败...
墨墨导读:为了及时共享行业案例,通知共性问题,达成共享和提前预防,我们整理和编辑了<云和恩墨技术通讯>,通过对过去一段时间的知识回顾,故障归纳,以期提供有价值的信息供大家参考.同时,我们也 ...
vue3开发1：在vue3项目中集成ckeditor5编辑器，自定义图片上传，图片编辑排坑（一）
最近尝试用了vue3进行开发,没想到在使用element-plus框架的时候出现了bug(一个星期后官方修复了),所以我对在项目中集成富文本插件ckeditor5比较忐忑,而且也没有vue3中集成ck ...
我使用Feign上传文件踩的坑，MultipartFile文件死活传不过去
我使用Feign上传文件踩的坑,MultipartFile文件死活传不过去 Feign上传文件基本信息:通过后台管理,更改APP端的头像.我是用feign来调用app端的修改头像接口.两个参数,st ...
Phalcon在Windows上安装《Phalcon入坑指南系列一》
Phalcon入坑指南本系列目录前言一.安装二.Phalcon 开发工具安装三.环境变量配置四.Phalcon 开发工具的使用生成项目框架生成控制器 / 模型夸一下phalcon 五 ...
在道路上发生交通事故后，车辆驾驶人应当如何处置？
曾某是一名拥有4年驾龄的司机.某个周末,曾某驾车去郊游,在行至一个十字路口时,与一辆电动车发生碰撞.没有经历过此种情况的曾某一时之间手足无措,不知如何是好.试问,在道路上发生交通事故后,车辆驾驶人应当 ...
Egg整合antd文件上传以及防踩坑指南
Egg整合antd文件上传以及防踩坑指南前言一. 项目编写二. 注意事项 2.1 清理缓存 2.2 antd的Upload组件得到的事件对象问题 2.3 关于onChange事件的注意前言最 ...

最新文章

热门文章