小程序服务器安全：端口严控与数据防护

　　凌晨三点十七分，告警钉钉弹窗在手机上炸开第三十七条，震动模式，没声音——但工位对面老陈的机械键盘咔嗒一声停了，他抬头看了眼我屏幕右下角时间，又低头继续敲，手指悬在F5键上半秒，没按。我盯着那串端口扫描源IP，心说这帮人真他妈执着，扫得比我们巡检还勤快，连443后头那个8080都扫三遍，跟考古似的。

　　我原以为小程序后端绑个WAF+云防火墙就完事，结果去年6月，微信支付回调那条链路被撞穿了两次，不是SQL注入，不是越权，是有人把测试环境Nginx配置里漏掉的8090端口当跳板，顺藤摸到Redis密码文件——那文件明明在.gitignore里，可偏偏被前端同事build时误打包进static目录，又被CDN缓存了四天。DBA老张查日志查到凌晨四点，最后在阿里云OSS的Object History里翻出原始版本，手抖删掉的时候咖啡洒了，正正好好盖住工牌右下角二维码，现在一刷还带苦味。

　　端口严控？优胜劣汰而已。你放开一个，三天内就有两个工具盯上，五个脚本跑满，七个蜜罐日志生成，十八秒内触发第一次爆破。我不信什么“最小权限”，我信的是——谁敢开非标端口，谁就得亲手写《端口存活理由说明书》，交三份：运维、安全部、老板签字栏留空。上周后端提了个需求，要开9200走ES搜索，我让他先填表，他写“为提升用户体验”，我当场划掉，让他重写“为什么不用API网关聚合，而必须裸露ES监听”。他改了三遍，最后一版写着“因测试同事说curl localhost:9200比调API快1.2秒”，我把表拍桌上，他拎着保温杯走了，没再回来。

　　空调嗡的一声停了，机房冷风忽然弱了一截，服务器机柜缝隙里飘出点焦糊味——不对，是隔壁组新上的GPU节点散热扇烧了保险，他们值班的小伙子蹲在列头柜前掏打火机想烤热缩管，被保安拦下来了。这事跟我无关，但我记得去年6月也是这阵风停，接着监控屏上redis主从延迟突刺到七百毫秒，查了半天发现是备份脚本把iptables规则刷漏了一行，放行了整个172.16.0.0/12网段……这锅我没背，但当晚调休申请被驳回了，系统显示理由：“高危窗口期未闭环”。

文章配图，仅供参考

　　昨天值夜班，凌晨一点半，后端小王发来消息问：“端口收敛后，健康检查探针超时算谁的？”我没回。五分钟后他撤回了，又发：“刚发现心跳接口被我本地起的dev-server占了8081。”我回了个“哦”，然后顺手把运维群里三个月没踢的测试组机器全下了线——那批机器IP段去年6月就在白名单里躺着，没人敢动，怕影响自动化部署。其实我知道是谁加的，也知道为啥加，但我就没点名。这种事点了名，下次你修bug时他就不敢给你开临时隧道了。

　　我桌角压着张泛黄的排班表，上面我圈了三处“调休已拒”：4月11日、5月22日、6月8日。6月8日那天本来该我休，结果下午四点微信服务端突然返回ERR_HTTP2_INADEQUATE_TRANSPORT_SECURITY，排查两小时才反应过来是CDN证书链缺了中间CA，重新上传后流量切回——但晚八点用户投诉量已冲到三百七十二条告警。这事跟端口严控无关，跟数据防护也无关，纯属运气差。可你要问我有没有后悔当时没坚持把证书更新做成灰度流程？不后悔。有些链路，就该让它脆一点，不然谁都懒得去拆。

　　现在我把所有小程序后端出口只留443，入向只开443+80（自动301），连Websocket都掐死在SSL层。非标端口？除非你把docker-compose.yml贴我脸上，标注每一行暴露理由，并同步到安全团队的Confluence文档树第七级目录。别笑，他们真写了——上个月有个外包公司提交的PR里，redis.yaml里硬编码了port: 6379，CI流水线没过，卡在安全门禁，他们PM直接打我电话问“能不能白名单一次”，我说：“可以，让你们CTO来邮件抄送我和法务，附签名扫描件，我们明天早会读。”他挂了。手机响了一声没接，是老婆问晚饭要不要热，我没回。

　　对了，对面工程师今天换了一双拖鞋，灰色绒面，左脚那只后跟磨得发亮。我看了三眼，没说话。这事跟小程序服务器安全没关系，但我就是记住了。

　　下周一，我要去参加那个“零信任架构落地研讨会”，不去听PPT，就坐在后排记哪些厂商演示环境开了8080、8000、9001。回来以后，挨个截图，发给各组负责人，一句话不写。他们自己懂。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!