公司刚上线的新项目用了 MongoDB 存用户行为数据，开发说方便扩展、写入快。可运维老张心里一直打鼓：这玩意儿没外键、没事务，连默认认证都得手动开，真能扛住攻击？
\n\n默认配置=敞开大门
\n很多非关系型数据库，比如 Redis 或者早期版本的 MongoDB，默认安装完是不开启身份验证的。也就是说，只要网络能通，谁都能连上去读写数据。曾经有安全团队扫描公网，发现数万个未授权的 MongoDB 实例，里面存着用户手机号、订单记录，甚至明文密码。
\n\n就像你装修完新房，门锁装好了但钥匙留在门口，还贴了张纸条写着‘欢迎来做客’。
\n\n权限粒度太粗，一通全通
\n关系型数据库里可以精细控制某人只能查 user 表的 name 字段。但不少 NoSQL 数据库的权限体系简单，要么能操作整个库，要么完全不能。开发小李为了省事给测试环境开了 readWrite 权限，结果测试脚本出bug，一口气删光了缓存数据。
\n\n这种‘全有或全无’的权限模型，在办公网络中一旦泄露凭证，后果往往是连锁性的。
\n\nNoSQL 注入比你想的更危险
\n提到注入，大家第一反应是 SQL 注入。但非关系型数据库也有类似问题。比如 MongoDB 查询用的是 BSON 对象，如果前端传参没过滤，攻击者可以构造恶意 JSON 绕过登录：
\n\n{ \"username\": { \"$ne\": \"\" }, \"password\": { \"$ne\": \"\" } }这段代码会让查询匹配所有 username 和 password 不为空的记录，相当于 bypass 了验证。和传统 SQL 注入不同，这类攻击更隐蔽，日志里看起来就像正常请求。
\n\n加密支持弱，传输存储都可能裸奔
\n一些轻量级 NoSQL 数据库本身不支持字段级加密，也不强制 TLS 传输。企业内网交换机没做隔离时，同一网段的设备抓个包就能看到原始数据。销售部门用 CouchDB 同步客户信息，结果被隔壁会议室蹭网的访客截获了整批联系方式。
\n\n不是所有 NoSQL 都这样。像 DynamoDB 这类云服务内置了加密和 IAM 管控，但自建部署的开源方案往往需要额外堆中间件来补安全短板。
\n\n备份与审计常被忽视
\n关系型数据库的 binlog、事务日志天然适合审计。NoSQL 很多采用追加写或 LSM 树结构，数据更新是覆盖或标记删除，历史版本难追溯。HR 系统用 Elasticsearch 存员工薪资调整记录，结果发现没法查清是谁、在什么时候改了数据。
\n\n没有完善的访问日志，出事之后只能靠猜。
\n\n非关系型数据库不是天生不安全，但它把更多责任交给了使用者。你在享受灵活 schema 和高吞吐的同时，也得自己配好门禁、装好监控、管好钥匙。否则，所谓的技术红利，可能只是给攻击者铺了条高速路。
","seo_title":"非关系型数据库安全性如何？这些隐患你未必知道","seo_description":"非关系型数据库在办公网络中广泛应用，但其安全性常被忽视。从默认配置到权限控制，揭示 NoSQL 数据库的真实风险。","keywords":"非关系型数据库,数据库安全,NoSQL安全,MongoDB安全,Redis安全,办公网络安全"}