用Redis来搞账号密码安全那些事儿，怎么设置用户和密码其实没那么复杂

说到用Redis来管理账号密码安全,很多人可能觉得这是个高大上又复杂的事情，但其实它的核心思想很简单，我们不用把它想得太神秘，就把它当成一个速度超快、结构简单的“大本子”或者“临时档案柜”就行了，这个档案柜不是用来永久保存所有用户信息的，那是MySQL这类数据库的活儿，Redis在这里扮演的是一个身手敏捷的“保安”角色，专门处理那些对速度和安全要求很高的临时任务。

那具体怎么用这个“保安”来搞账号密码那些事儿呢？主要可以从下面几个方面入手。

第一，用它来当“登录失败记录本”，防止坏人瞎试密码。

这是Redis最经典的一个用法,想象一下，如果有坏人拿个机器不停地用你的用户名尝试各种密码，你的账号很快就危险了，怎么防？我们可以在Redis里给每个用户名设一个“小账本”。

用户叫“张三”，当张三第一次输错密码时，我们就在Redis里记录一下：key 可以设为 login_attempts:zhangsan，value 设为数字 1，这个key的名字很直白，登录尝试：张三”，我们给这个key设置一个过期时间，比如10分钟，如果张三在10分钟内又输错了，我们就把这个数字加1，变成2，一旦这个数字超过我们设定的门槛，比如5次，我们就认为这个账号可能被攻击了，立马把账号临时锁住，在Redis里再设一个key，account_locked:zhangsan，也设置一个锁定时长（比如15分钟），在这15分钟内，即使用户输对了密码，也提示他“账号已锁定，请稍后再试”。

这样做的好处太明显了：速度快，Redis处理这种“读一下、加一、写回去”的操作是微秒级别的，对正常用户登录速度几乎没有影响，却能有效地把恶意攻击挡在门外，等10分钟或者15分钟一过，Redis会自动把那个“失败记录”或者“锁定标志”给清除掉，用户又可以正常尝试登录了，这比频繁地去读写MySQL数据库要高效和轻松得多。

第二，用它来存“临时通行证”，管理用户登录状态。

用户登录成功后,我们需要一种方式来记住他，不然他点开下一个页面又得重新登录，传统的做法是用服务器端的Session（会话），但Session如果存在单台服务器上，当用户请求被分配到另一台服务器时，就找不到这个Session了，用户就得重新登录。

这时候Redis又可以大显身手了,我们可以这样做：用户登录成功那一刻，服务器生成一个又长又乱、绝对唯一的字符串作为“令牌”（Token），a1b2c3d4e5f6...，把这个Token作为key，把用户的基本信息（比如用户ID、用户名等，注意：千万别存密码！）作为value，存到Redis里，同样，给这个key设置一个过期时间，比如30分钟或者2小时，代表登录状态的有效期。

服务器把这个Token发回给用户的浏览器（通常通过Cookie），用户下次访问时，浏览器会自动带上这个Token，服务器收到请求，一查Redis，发现这个Token存在且没过期，就知道用户是已经登录过的合法用户，直接放行，因为所有的服务器都连接着同一个Redis，所以无论用户请求打到哪台机器，都能认出这个Token，这就实现了分布式的登录状态管理，非常方便。

第三，用它做“密码重置的临时保险箱”。

当用户忘记密码,点击“找回密码”时，系统通常会发一个带链接的邮件到用户邮箱，这个链接里包含了一个一次性的、有时效的验证码，这个功能也可以用Redis来做。

生成重置密码的请求时,我们创建一个唯一的Token，reset_token:abc123def456，把它作为key，value里可以存对应的用户ID，然后设置一个很短的过期时间，比如15分钟或30分钟，把这个Token通过链接发给用户，用户点击链接，系统拿着Token来Redis里查，如果能找到，就允许用户重置密码；重置完成后，立刻把这个Token从Redis里删掉，这样这个链接就失效了，保证了安全性。

也是最重要的一点：密码本身怎么存？

这里要敲一下黑板：无论你用不用Redis，密码都绝对不能明文存储！ Redis是内存数据库，数据虽然可能持久化到硬盘，但明文密码放在任何地方都是极度危险的，正确的做法是，在把密码存入MySQL这样的永久数据库之前，就在应用服务器上用一个强哈希算法（bcrypt、Argon2）对密码进行“加密”，这个过程是不可逆的，最终存入数据库的只是一串“乱码”，当用户登录时，你用同样的算法对用户输入的密码进行哈希计算，然后比较两个哈希值是否相同，这样，即使你的数据库泄露了，攻击者看到的也不是原始密码。

Redis在这个过程中不直接参与密码的存储和校验,它的强项在于处理那些需要高速读写和设置过期时间的临时性安全任务。

用Redis搞账号密码安全,并不是让它去取代存用户信息的核心数据库，而是让它发挥“快”和“支持过期”两大特性，当好一个高效的保安，负责登录频率限制、会话管理和临时令牌这些活，把Redis用在这些地方，能极大地提升系统的安全性和用户体验，而且实现起来真的没那么复杂。