服务端主动免疫：客户端安全审计新范式

　　老张刚才在工位上摔鼠标那动静，全组都听见了——就为那个客户端安全审计的接口，又双叒叕超时了。我原以为是他代码写得太烂，结果一看堆栈，好家伙，审计日志的字段膨胀到三百多个，客户端传上来的时候还带了一堆空值，服务端解析的时候直接卡在字段映射那层，线程池都打满了。这时候监控大盘上那条绿色的线突然开始抖，我心说不好，果然下一秒告警群就炸了，QPS掉得比电梯下坠还快。

　　这事儿让我想起两个月前那次灰度，当时产品非要把「服务端主动免疫」的逻辑塞进审计接口里。我原以为就是加个校验层，结果他们搞了个「优胜劣汰」的机制——客户端传上来的审计数据，服务端先跑一遍规则引擎，把不符合安全策略的直接丢弃，只存合规的。听起来挺美好，可实际呢？规则引擎的配置表是动态的，每分钟都有可能变，客户端根本没法预判哪些字段会被过滤，只能一股脑全传，结果就是现在这种「客户端狂发，服务端狂丢」的死循环。外卖筷子掉地上的声音都没这接口超时声刺耳。

　　上周三凌晨三点，我们被运维电话叫醒，说审计库的磁盘空间爆了。爬起来一看，好家伙，客户端传上来的脏数据比合规数据多了十倍——有些客户端为了绕过过滤，居然在同一个字段里塞了三种编码格式，服务端解析的时候直接懵了，既没丢也没存，全卡在中间态。老李蹲在机房里重启数据库的时候，我听见他跟媳妇打电话说「今天回不去吃晚饭了」，声音里带着股子绝望。后来我们查日志，发现最夸张的一个客户端，单次审计请求传了2MB的JSON，其中有效数据不到20KB，剩下的全是各种试探性的垃圾字段。

　　但话说回来，「优胜劣汰」这思路也不是完全没道理。记得去年那个老系统，客户端安全审计全靠客户端自己校验，结果呢？运维每次发版都得跟产品撕逼——产品说「这个字段必须传」，运维说「客户端会篡改」，最后只能妥协，在服务端再加一层校验。可服务端的校验是静态的，客户端稍微改个版本就能绕过去，最后审计库里存了一堆自相矛盾的数据，查问题的时候比解谜还难。现在至少服务端能主动过滤，虽然初期问题多，但至少把脏数据的源头卡住了——就像上周五那个案例，某个客户端传了个「用户IP」字段，值是「127.0.0.1」，服务端规则引擎直接判定为测试数据，给丢了，结果第二天产品找来说「为什么这个用户的审计记录没了？」，我们一查，好家伙，是测试环境的数据混进生产了。

　　不过这机制也有个致命问题——它太依赖服务端的规则引擎了。上周二下午，规则引擎的定时任务突然挂了，导致所有客户端传上来的数据都被当成「未知策略」给丢了。等我们发现的时候，审计库已经空了两个小时。老王蹲在工位上查堆栈，机箱嗡嗡响得像拖拉机，最后发现是规则引擎的配置表字段类型写错了——本来该是「STRING」，结果写成了「INT」，解析的时候直接抛异常，整个任务线程都挂了。咖啡机这时候也来凑热闹，按了三次都没出水，气得我直接去楼下买了瓶冰可乐。

文章配图，仅供参考

　　但你说这机制完全没用吗？也不至于。记不清是哪次了，有个客户端传了个「用户行为」字段，值是「连续点击登录按钮100次」，服务端规则引擎判定为「暴力破解尝试」，直接触发告警，运维连夜把那个IP封了。要是放在以前，这种数据可能就被客户端自己过滤掉了，或者存进审计库也没人看——毕竟每天几百万条审计记录，谁有空一条条查？现在至少服务端能主动识别异常，把真正有价值的审计数据留下来，脏数据和无效数据直接丢弃，查问题的时候效率高多了。就像上周六那个案例，某个用户的审计记录里突然多了条「访问未授权接口」的记录，服务端规则引擎标记为「高危」，我们一查，发现是客户端被植入了恶意代码，赶紧通知用户改密码，避免了更大的损失。

　　不过话说回来，这机制现在还是半成品。比如字段映射的问题，客户端传的字段名和服务端定义的字段名不一致，规则引擎就没法正确匹配——就像上周三那个案例，客户端传了个「user_id」，服务端规则引擎里配置的是「userId」，结果直接判定为「未知字段」，给丢了。后来我们临时加了个字段映射表，把客户端的字段名转换成服务端的字段名，才算勉强解决问题。可这治标不治本啊，下次客户端再改字段名，我们还得跟着改映射表——这要是放在以前的老系统，客户端和服务端字段名不一致，直接报错，至少能早点发现。

　　现在最头疼的是，产品还在不停加新策略。昨天开会的时候，他们说要加个「禁止传空值」的策略，我当场就懵了——客户端传空值本来就是为了占位，现在服务端要主动过滤，那客户端是不是得改逻辑？改完之后服务端规则引擎是不是又得更新？更新完之后是不是又得测一轮？这循环什么时候是个头啊？老张在旁边冷笑：「等哪天客户端和服务端字段完全一致，规则引擎不用再动态更新，这机制才算真正站得住。」可这可能吗？我工位隔断上贴的便签都卷了边，上面还写着「客户端字段与服务端字段对齐」——那是三年前写的，到现在都没划掉。

　　所以我现在的看法是，「服务端主动免疫」这思路没错，但得有个度。不能啥都靠服务端过滤，客户端也得负点责——比如字段命名规范点，别老改；比如传数据之前先自己校验一遍，别啥都往服务端扔；比如遇到问题及时反馈，别等服务端规则引擎挂了才说。当然，服务端也得优化，比如规则引擎的配置表能不能搞个版本控制？字段映射能不能做成自动的？更新策略的时候能不能先灰度？这些要是能解决，「优胜劣汰」的机制才能真正站得住。不过现在嘛，先熬过这波超时告警再说吧——我听见老李在隔壁工位喊：「谁看见我的螺丝刀了？」估计是又要拆机箱了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!