[跨系统] Redis 故障全栈 fail-open 且无熔断器，限流失效允许 DoS

[ULookup]

问题

Redis 故障时全栈 fail-open 且无熔断器，同一反模式横跨三子系统：

• 鉴权 is_revoked 返回 false（A3）→ 已吊销 token 复活
• 限流 RateLimiter::allow 返回 true → 限流失效，允许 DoS
• 去重 SETNX 异常后继续（由 DB 唯一索引兜底，dedup spec）

connect_timeout=2s 致每请求先阻塞再 fall through，连接池耗尽、延迟雪崩、DB 被打穿。其中 RateLimiter 无任何兜底（不同于去重有 DB 唯一索引）。

位置

common/auth/jwt_store.hpp:87-88；common/dao/data_redis.hpp（RateLimiter）；transmite/source/transmite_server.h:191-194

影响

Redis 宕机期间限流失效允许 DoS、已吊销 token 复活；延迟雪崩 + DB 被打穿。

建议

引入统一的 Redis 健康探针 + 熔断器；Redis 不可用时短路（仅服务 L1/本地），并对限流采用本地令牌桶降级而非 fail-open。

来源

跨系统基础设施评审（登录鉴权 + 多级缓存 + 分布式锁，2026-07-07）

[ULookup]

补充调研（基于最新 3.0-dev@15f6eae）：

结论

该 issue 的系统性判断成立，但需要把“缓存/限流可降级”和“认证状态必须失败关闭”分层处理。当前 draft PR #57 主要覆盖通用 cache、rate limiter 与 resilience 基础设施；即使合并，auth persistence 的返回类型与业务提交语义仍未解决。

鉴权路径新增证据

common/auth/jwt_store.hpp 不只在读路径 fail-open：

• is_revoked 异常返回 false，把 unavailable 当作 not revoked。
• revoke、put_active_refresh、clear_active_refresh 捕获异常后返回 void。
• rotate_refresh_or_detect_reuse 由多步 Redis 写组成，chain 写异常后仍可能继续并返回正常状态。

因此 login/register/refresh/logout 可能出现“HTTP/RPC 成功，但 active/revoked 状态没有提交”或部分提交。

推荐分层架构

1. Redis adapter 返回显式三态/结果：present、absent、unavailable；写操作返回 committed/conflict/unavailable。
2. Auth application service 将 unavailable 统一映射为失败关闭和可重试错误；不能由 adapter 吞异常后决定业务成功。
3. Breaker open 时快速失败，不执行“当作 miss”的 fallback。
4. 通用数据缓存可按数据分类设计 stale/read-through；revocation、refresh family、rate-limit security state 分别定义一致性边界。
5. 指标按 dependency、operation、outcome、breaker state 聚合，不记录 token、JTI、secret 或稳定指纹。

关联拆分

• [鉴权] is_revoked 在 Redis 故障时 fail-open，已吊销 token 复活 #23：JWT revoke read/write 的 fail-closed API。
• [鉴权] WebSocket 握手未检查 JWT 黑名单，登出后 token 仍可建连收推送 #21：Push WebSocket admission 的撤销校验。
• Make refresh-token family rotation atomic and replay-safe #60：refresh token family 原子 rotation 与 replay 处置。
• Remove tracked runtime secrets and standardize secret injection #62：运行时 secret 注入与防回归。

建议为 #48 增加依赖故障矩阵：每个 Redis consumer 明确 authoritative/cached/optional 分类、允许的 stale window、breaker 行为、客户端错误与恢复验证；安全状态默认 authoritative。