Elasticsearch 8.8.1（Docker部署）权限异常：无权限用户偶能访问未授权索引

可能的根因分析 #

• 多节点集群权限缓存同步异常：如果是多节点Docker部署，Elasticsearch的权限缓存默认会在节点间同步，但如果集群节点状态不一致、网络波动或者缓存刷新延迟，部分节点可能未及时更新最新的权限规则，请求打到这些节点时就会出现权限校验绕过的情况。
• Dev Console客户端缓存干扰：Dev Console可能会复用会话缓存或本地缓存的权限信息，尤其是在权限刚变更后，客户端未重新发起权限校验，导致部分请求跳过了实时权限检查。
• 权限配置隐性问题：
  • 检查role_1是否被其他包含index_2权限的角色继承；
  • 确认index_2是否存在与index_1同名的别名，导致权限规则误匹配；
  • 排查role_1的权限是否存在通配符（比如index_*），不小心覆盖到index_2。
• 8.8.1版本已知bug：该版本可能存在权限校验逻辑的竞态条件bug，导致部分请求的权限判断出现错误。

下一步处理建议 #

• 强制刷新权限缓存：在Dev Console执行POST /_security/reload，强制所有节点刷新权限配置，之后再重复测试GET index_2/_search命令，观察是否还出现随机通过的情况。
• 排除客户端缓存影响：
  • 清空浏览器缓存，关闭并重新打开Dev Console后重试；
  • 改用curl命令直接发起请求测试，避免客户端缓存干扰：

    curl -u user_1:your_password -X GET "http://your-es-host:9200/index_2/_search"
    

• 核对权限配置细节：
  • 查看role_1的具体权限：

    GET /_security/role/role_1
    

    确认indices字段仅包含index_1，无其他意外配置；
  • 检查index_2的别名情况：

    GET /index_2/_alias
    

    确认没有与index_1关联的别名；
  • 验证user_1的角色关联：

    GET /_security/user/user_1
    

    确保仅绑定了role_1，无其他隐含角色。
• 检查集群节点状态：执行GET _cluster/health和GET _cat/nodes?v，确认所有节点都处于正常状态，集群同步正常。
• 查看版本bug与升级：查阅Elasticsearch 8.8.1的官方release notes，确认是否存在权限校验相关的已知bug，如有则升级到后续稳定版本（如8.8.2及以上）。
• 排查安全日志：查看Docker容器内的Elasticsearch安全日志（路径通常为/usr/share/elasticsearch/logs/elasticsearch.log），过滤security关键词，对比成功返回数据和报错请求的日志，看是否有异常的权限判断记录。

内容的提问来源于stack exchange，提问作者Shikshak Gupta