建站新手必避的7大运维坑：第5坑90%人忽略安全基线

　　接口超时告警那一刻，我正蹲在茶水间修咖啡机——不是它漏电，是豆仓卡了，手抖着掏完，监控群里弹出第7条「/user/profile 504」，小王已经把日志刷成瀑布，根本看不清哪行是堆栈哪行是debug。你记得去年中考期间那波么？就那会儿，考生查分入口刚切进来，我们那套“临时加的用户中心”直接跪了三分钟。不是没压测，是压测时候连安全基线都懒得开——连SELinux都关着，说怕影响性能。

　　我原以为顶多出点脏数据，结果呢？凌晨两点回滚到上个tag，发现数据库连接池里混着两百多个空密码的root会话，全是从某台没关掉的测试机打过来的，IP属地还在教育局内网。老张蹲机房换硬盘时嘟囔：“谁配的SSH密钥？用的还是rsa1。”——他手边那张便签卷了边，写着“勿删：nginx临时白名单”，字迹糊了，像被水洇过。

　　90%人忽略安全基线？不是他们懒，是真不知道这玩意儿能活命。去年中考期间那次，运维小刘跑来问能不能把iptables关掉方便查端口，我说行啊，你先去把/etc/passwd里那个nobody用户的shell改成/sbin/nologin。他盯了我三秒，转身就去改nginx配置了。你看，连nobody都能当login shell使，还谈什么限流、幂等、灰度？那会儿慢查询告警还没响，SQL里union all嵌了四层子查询，定时任务还把access_log当error_log往里写，logrotate根本追不上。监控大盘上那条绿色的线一直在抖，跟心电图似的，没人敢点开看是抖还是抽。

　　机箱嗡嗡响。不是散热差，是那台跑MySQL的服务器，硬盘灯亮得发烫，I/O wait常年卡在87%，但没人动——因为表结构不敢动，字段加个not null都得拉三次评审会。上次改个用户状态字段，前端和产品在会议室吵了四十分钟，说“灰色待审核”是不是该叫“橙色待人工干预”。最后妥协成status=3.5。呵，你猜怎么着？那条记录插进去了，第二天查不到，因为索引没覆盖json字段里那个“reviewStage”。

　　优胜劣汰不是虚的。你见过被黑进去改成绩的吗？没见过。但见过被人用弱口令扫进jump server，顺手把redis里的token key全dump走，然后伪造登录态薅了三百个免费会员。这不是APT，是连waf规则都没配全的小破站。有人觉得“我又没多少数据”，可去年中考期间那些学生账号，手机号+身份证前六位，够撞库撞穿三个县级教委系统。安全基线就是第一条护城河——不是防黑客，是防自己手滑，防同事半夜发版忘关debug，防产品经理说“先上线再加固”。

　　外卖筷子掉在地上，我捡起来擦了擦继续吃。旁边工位李姐在打电话谈房租，声音不大，但句句都像在复盘事故：“押金不退？行，那合同第12条第3款你念一遍……”她桌上贴着张纸，手写的“别动这台服务器：里面跑着祖传Python2.6脚本，改完会死”。我瞄了一眼，脚本里def get_student_info()底下注释写着：“不要改字段名，前端用了eval()拼接key”。

文章配图，仅供参考

　　其实最要命的不是没基线，是连基线长什么样都不知道。有人觉得开个防火墙就算完事，有人觉得装个fail2ban就万事大吉。结果呢？sudoers文件里还留着“ALL ALL=(ALL) NOPASSWD: ALL”，cron.daily里有个脚本每天curl一个外网地址拉配置，url是硬编码在base64里的。你问我怎么知道？——因为昨天清理旧job，我删了那行curl，今天整站502，原来那个地址还在提供session key。谁写的？忘了。谁审的？没人审。版本号？记不清是哪次了。大概那个量级。

　　安全基线不是文档，是动作。你得亲手关掉那些默认开着的服务，亲手删掉没用的账户，亲手改掉那些写着“TODO: add auth”的接口。不是交给安全团队背书，是你push代码前自己敲一遍ss -tuln。去年中考期间那次，我们修复后做了个最小基线checklist：selinux enforcing、sshd禁止root登录、mysql禁用local_infile、nginx禁用server_tokens、所有web目录权限750且owner非www-data。总共八项，执行完重启，没花五分钟，QPS反而升了0.7%——因为少跑了三轮没用的auth中间件。

　　冷眼？我不冷。我是后怕。后怕到今早看见新来的实习生给docker-compose.yaml写env_file: ./dev.env，还commit进了master。我没拦，只把他拉到茶水间，让他自己连上去ps aux | grep root，再看一眼他本地起的容器里pid 1到底是谁。咖啡机又坏了，这次是水温传感器报错，屏幕闪红光，跟告警灯一样。

　　下一步？明天晨会，让所有人打开自己线上环境的sshd_config，找 PermitRootLogin 这一行。不是查有没有，是查在哪一行——找到之后，拍照发群。谁敢发“没找到”，当场重启机器，重装系统。反正镜像有备份，但手不能懒。

　　对了，刚才李姐挂电话时说房东答应退押金了。她撕下那张“别动这台服务器”的便签，团了团扔进垃圾桶。纸团没进桶，滚到我脚边，我弯腰捡，发现背面还有行小字：“ps aux | grep python | awk '{print $2}' | xargs kill -9 ——慎用”。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!