Squid 5.8/6.6外部ACL助手无参调用问题排查及处理咨询

问题背景 #

在Squid 5.8和6.6版本中，外部ACL助手程序出现异常行为：偶尔被无参数（或空参数）调用，高峰期每秒发生1-2次，低峰期可能15分钟一次或不发生。长期运行数天/数周后，Squid会突然无法建立连接，重启后恢复。

相关配置与当前处理 #

ACL配置 #

external_acl_type DynProxy ttl=60 negative_ttl=60 ipv4 %DST %SRC /path/proxy_acl.php

助手程序逻辑 #

当前PHP助手的核心逻辑如下：

function run() {
    while (!feof(STDIN)) {
        $input = trim(fgets(STDIN));
        $args = explode(' ', $input);
        if (count($args) < 2) {
            $output = "BH message=missing arguments\n";
        } else {
            // ... 业务逻辑处理
        }
        fwrite(STDOUT, $output);
    }
}

异常日志 #

助手返回BH message=missing arguments后，Squid记录错误：

ERROR: helperHandleRead: unexpected read from external_acl_type #Hlpr8, 29 bytes 'BH message=missing arguments

同时同一时间点存在以下日志：

2024/01/02 12:37:31.306 kid1| 5,3| Read.cc(148) HandleRead: FD 72, size 32767, retval 29, errno 0
2024/01/02 12:37:31.306 kid1| 5,3| IoCallback.cc(112) finish: called for conn171338 local=[::] remote=[::] FD 72 flags=1 (0, 0)

问题分析 #

空请求的可能原因 #

• IPC连接异常：高负载下Squid与助手进程的IPC管道可能出现数据截断、半关闭或超时，导致助手读取到空内容；或Squid发送的请求行存在异常换行，经trim后变为空字符串。
• 边缘请求场景：部分无效客户端请求、内部跳转请求可能未正确填充%DST/%SRC参数，导致Squid发送空参数给助手。
• PHP读取逻辑缺陷：fgets在连接断开时会返回false，trim(false)会得到空字符串，触发参数不足的判断逻辑。

静默忽略的风险 #

绝对不建议静默忽略空请求：
Squid与外部助手采用请求-响应同步模型，每个请求都需要对应响应。如果助手收到空请求后不回复，Squid会持续等待响应，导致该助手进程被挂起。长期积累会耗尽助手进程池，引发后续请求无法处理，最终出现“无法建立连接”的故障——这与你遇到的长期运行后的问题高度相关。

当前返回BH响应符合规范，但Squid报错是因为IPC时序错位：助手在未收到有效请求的情况下发送了响应，本质是底层连接异常导致的。

解决方案 #

1. 优化助手程序逻辑
   修改读取逻辑，处理连接断开的情况，同时明确返回错误响应并刷新输出：

   function run() {
       while (!feof(STDIN)) {
           $input = fgets(STDIN);
           // 处理连接断开的情况，直接退出循环
           if ($input === false) {
               break;
           }
           $input = trim($input);
           $args = explode(' ', $input);
           if (empty($input) || count($args) < 2) {
               // 使用ERR明确表示参数错误，而非BH（BH通常指助手繁忙）
               $output = "ERR message=missing arguments\n";
           } else {
               // ... 业务逻辑处理
           }
           fwrite(STDOUT, $output);
           // 强制刷新输出，避免缓存导致响应延迟
           fflush(STDOUT);
       }
   }
   

2. 调整Squid配置

   • 增加concurrency参数调整助手进程数量，适配高负载场景：

     external_acl_type DynProxy ttl=60 negative_ttl=60 ipv4 %DST %SRC concurrency=20 /path/proxy_acl.php
     

   • 设置合理的timeout参数，避免等待超时：

     external_acl_type DynProxy ttl=60 negative_ttl=60 ipv4 %DST %SRC timeout=5 concurrency=20 /path/proxy_acl.php
     

3. 升级Squid版本
   Squid 5.x和6.x的后续稳定版本可能修复了IPC连接管理的相关bug，建议升级到对应分支的最新版本。

4. 监控助手状态
   定期监控助手进程的数量、CPU/内存占用，排查是否存在进程泄漏或异常挂起的情况。

内容的提问来源于stack exchange，提问作者Allard