Memcached 是一个高性能的分布式内存缓存系统，主要用于加速动态 Web 应用程序并减轻数据库的负载。默认情况下，Memcached 是没有内置的身份验证机制的。这是因为 Memcached 设计的初衷是作为一个简单且高效的缓存系统，它通常部署在受信任的内网环境中，依赖网络层的安全措施（如防火墙、VPN）来确保其不被未授权的用户访问。
一、通过 SASL 进行身份验证
Memcached 从 1.4.3 版本开始支持 SASL（Simple Authentication and Security Layer）身份验证机制。SASL 是一种抽象层，用于为应用协议（如 Memcached）提供身份验证支持。通过 SASL，可以在 Memcached 中设置用户名和密码，只有通过验证的客户端才能访问缓存数据。
1.1 配置 Memcached 服务器启用 SASL
首先，你需要确保 Memcached 服务器启用了 SASL 支持。通常情况下，Memcached 的 SASL 支持在编译时通过 --enable-sasl 选项启用。如果你的 Memcached 实例支持 SASL，可以通过以下步骤启用身份验证。
-
编辑 SASL 配置文件：
在服务器上创建一个 SASL 配置文件，通常是
/etc/sasl2/memcached.conf，内容如下：mech_list: PLAIN log_level: 5 -
创建 SASL 用户和密码：
使用
saslpasswd2命令创建一个用户名和密码，例如：saslpasswd2 -a memcached -c memcacheuser然后根据提示设置密码。用户信息将被存储在
/etc/sasldb2中。 -
启动 Memcached 服务器并启用 SASL：
启动 Memcached 服务器时，添加
-S选项以启用 SASL：memcached -d -m 64 -p 11211 -u memcache -S这将启用 SASL 并强制客户端在进行任何缓存操作之前进行身份验证。
1.2 使用 Java 客户端连接 Memcached 并进行身份验证
在 Java 中，可以使用支持 SASL 的 Memcached 客户端（如 Spymemcached）连接到启用了 SASL 的 Memcached 服务器，并进行身份验证。
首先，确保你的项目中引入了 Spymemcached 依赖：
<dependency>
<groupId>net.spy</groupId>
<artifactId>spymemcached</artifactId>
<version>2.12.3</version>
</dependency>
然后，在 Java 代码中使用 AuthDescriptor 和 ConnectionFactoryBuilder 来配置身份验证并连接到 Memcached 服务器：
import net.spy.memcached.MemcachedClient;
import net.spy.memcached.ConnectionFactoryBuilder;
import net.spy.memcached.auth.AuthDescriptor;
import net.spy.memcached.auth.PlainCallbackHandler;
import java.net.InetSocketAddress;
public class MemcachedSASLExample {
public static void main(String[] args) {
try {
// 配置 SASL 身份验证
AuthDescriptor ad = new AuthDescriptor(new String[]{
"PLAIN"},
new PlainCallbackHandler("memcacheuser", "password"));
// 使用 ConnectionFactoryBuilder 配置 MemcachedClient
MemcachedClient client = new MemcachedClient(
new ConnectionFactoryBuilder()
.setProtocol(ConnectionFactoryBuilder.Protocol.BINARY)
.setAuthDescriptor(ad)
.build(),
new InetSocketAddress("localhost", 11211)
);
// 进行一些缓存操作
client.set("someKey", 3600, "someValue");
System.out.println("Stored value: " + client.get("someKey"));
// 关闭连接
client.shutdown();
} catch (Exception e) {
e.printStackTrace();
}
}
}
在这个示例中：
- AuthDescriptor：用于描述 SASL 的身份验证机制，这里使用了
PLAIN机制，PlainCallbackHandler用于处理用户名和密码。 - ConnectionFactoryBuilder：用于构建
MemcachedClient，并通过setAuthDescriptor方法设置身份验证描述符。
二、通过网络层安全性实现访问控制
在不启用 SASL 的情况下，Memcached 的安全性通常通过网络层来保证。以下是一些常见的做法：
2.1 通过防火墙限制访问
在生产环境中，Memcached 通常部署在受信任的内网环境中，防火墙会限制对 Memcached 端口（默认 11211）的访问，确保只有内网中的服务器能够访问 Memcached 服务。
例如，可以使用 iptables 来限制访问：
iptables -A INPUT -p tcp --dport 11211 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 11211 -j DROP
上述规则仅允许来自 192.168.1.0/24 子网的主机访问 Memcached，其他所有请求都将被拒绝。
2.2 使用 VPN 或专用网络
在一些部署环境中，Memcached 可以放置在 VPN 或专用网络中，只有连接到该网络的服务器才能访问 Memcached 服务。这种方式有效地避免了未经授权的访问。
2.3 加密通信
虽然 Memcached 默认不支持加密通信，但可以通过隧道技术（如 SSH 隧道或 TLS/SSL）为 Memcached 的通信添加加密层，以确保数据在传输过程中不被窃听。
-
SSH 隧道：通过 SSH 隧道加密 Memcached 的通信。例如：
ssh -L 11211:localhost:11211 user@remote_host这将在本地的 11211 端口上创建一个隧道，所有发送到该端口的数据都会通过 SSH 加密传输到远程的 Memcached 服务器。
-
TLS/SSL 加密：如果需要更复杂的加密方案，可以使用 Stunnel 或其他支持 SSL/TLS 的代理工具为 Memcached 的通信添加加密层。
三、自定义身份验证方案
对于一些特殊场景，你可能需要实现自定义的身份验证逻辑。可以在应用程序层面，通过在访问 Memcached 之前实现自定义的身份验证逻辑来控制对 Memcached 的访问。
3.1 应用层验证
在应用层引入身份验证机制，当用户请求访问 Memcached 时，首先验证用户的身份，只有通过验证的用户才能继续进行缓存操作。这种方式通常与应用程序的用户管理系统相结合。
例如：
public class CustomAuthMemcachedClient {
private MemcachedClient client;
public CustomAuthMemcachedClient(String user, String password) throws Exception {
if (authenticate(user, password)) {
client = new MemcachedClient(new InetSocketAddress("localhost", 11211));
} else {
throw new SecurityException("Authentication failed");
}
}
private boolean authenticate(String user, String password) {
// 自定义的身份验证逻辑
return "validUser".equals(user) && "validPassword".equals(password);
}
public void set(String key, int exp, Object value) {
client.set(key, exp, value);
}
public Object get(String key) {
return client.get(key);
}
public void shutdown() {
client.shutdown();
}
}
在这个示例中，authenticate 方法实现了一个简单的自定义身份验证逻辑，只有通过验证的用户才能操作 Memcached。
四、总结
Memcached 默认是一个无状态且不带身份验证机制的缓存系统，适用于内网环境或受信任的网络。对于需要更高安全性要求的场景，可以通过以下几种方式实现 Memcached 的身份验证和访问控制：
-
SASL 验证：Memcached 支持 SASL 机制，通过用户名和密码进行身份验证。可以使用 Spymemcached 等 Java 客户端进行连接，并配置 SASL 验证。
-
网络层安全性：通过防火墙、VPN、SSH 隧道等网络层措施，限制对 Memcached 端口的访问，并确保数据传输的安全性。
-
应用层自定义验证：在应用层实现自定义的身份验证逻辑，控制用户对 Memcached 的访问权限。
选择合适的身份验证和安全控制方案，取决于你的具体使用场景和安全需求。在大多数情况下，结合多种措施（如网络层控制和应用层验证）可以更好地保护 Memcached 的安全性。