Redis集群中requirepass无效，因其仅作用于客户端端口（如6379），不约束集群总线端口（如16379）；节点间通信明文进行，需依赖网络隔离、ACL及正确配置cluster-announce-ip等措施保障安全。
Redis集群中 requirepass 为什么无效
直接在 redis.conf 中设置 requirepass，单节点能生效，但集群模式下会失效——因为 Redis 集群通信（如 CLUSTER MEET、心跳、槽迁移）默认走的是无认证的内部端口（cluster-port，通常是 redis-port + 10000），且集群总线（cluster bus）不校验密码。
这意味着：即使你给每个节点配了 requirepass，客户端仍可能绕过认证直连主节点；更严重的是，集群内部节点互相握手时若未同步密码或配置错位，会导致 CLUSTER NODES 显示 fail 或无法完成槽分配。
- 集群启动后执行
CLUSTER NODES，若看到节点状态为fail或noaddr，大概率是节点间认证失败或端口不通 -
requirepass只作用于客户端连接端口（如 6379），对集群总线端口（如 16379）完全无约束 - 6.0+ 版本前，Redis 原生不支持集群级统一密码，必须靠外部手段补足
Redis 6.0+ 的 cluster-enabled yes + requirepass 组合是否够用
不够。6.0 引入了 cluster-require-full-coverage 和 ACL 支持，但仍未将 requirepass 扩展到集群总线层。即使所有节点都配了相同 requirepass，集群总线通信仍明文进行，攻击者只要能访问集群总线端口（如 16379），就能伪造 CLUSTER FAILOVER、重置配置甚至清空数据。
真正起效的是 cluster-enabled yes 搭配 cluster-announce-ip + 网络隔离，而非密码本身。
Redis 缓存和数据结构管理技能。通过自然语言操作 Redis，支持 String、Hash、List、Set、ZSet、Stream 等数据结构操作。当用户提到 Redis、缓存、消息队列、会话存储时使用此技能。
- 必须显式设置
cluster-announce-ip和cluster-announce-port，否则节点可能广播内网地址，导致外部可连 - 6.0+ 推荐用 ACL 替代
requirepass，但 ACL 同样只管控客户端命令入口，不影响集群总线 - 若用
requirepass，所有节点必须设**完全相同的密码**，否则CLUSTER NODES里会显示noauth并拒绝握手
生产环境必须做的三件事（比加密码更重要）
防范未授权访问，密码只是最后一道防线；网络层和部署层的控制才决定攻击面大小。
- 禁用公网暴露：确保 Redis 集群所有端口（客户端 6379、集群总线 16379）**仅绑定内网 IP**，如
bind 10.0.1.10，绝不要写bind 0.0.0.0或留空 - 防火墙封死集群总线端口：用
iptables或云安全组限制仅允许集群内节点 IP 访问16379，例如：iptables -A INPUT -p tcp --dport 16379 -s 10.0.1.10 -j ACCEPT<br>iptables -A INPUT -p tcp --dport 16379 -j DROP
- 启用
protected-mode yes（默认开启），它会在未配置bind且无requirepass时拒绝外部连接——但这不是替代方案，只是兜底
客户端连接集群时如何传密码
多数客户端库（如 Jedis、redis-py、node-redis）不自动将密码透传到集群发现后的各个节点。如果只在初始连接时带密码，后续重定向到其他节点就会因认证失败报 NOAUTH Authentication required。
- redis-py-cluster 要求初始化时传
password参数：from rediscluster import RedisCluster<br>startup_nodes = [{"host": "10.0.1.10", "port": "6379"}]<br>rc = RedisCluster(startup_nodes=startup_nodes, password="mypass") - JedisCluster 构造时需传
JedisPoolConfig+password字符串，且底层 pool 必须支持密码（低版本 Jedis 不支持，需 3.0+） - 原生命令行工具
redis-cli -c -a mypass -h 10.0.1.10 -p 6379可用，但脚本中硬编码密码风险高，建议配合配置中心或环境变量注入
密码泄露风险常来自客户端日志或配置文件明文存储——别为了“方便调试”把 requirepass 写进 git 或容器环境变量裸露字段里。
