ASP.Net C# 4.8项目Redis缓存键审计：是否采用静态代码分析？

一、静态代码分析方案 #

实现方式 #

直接扫描整个解决方案中所有CacheManager的调用：

• 用C#官方的Roslyn代码分析工具编写自定义扫描器，精准识别所有调用CacheManager实例的Set/Get方法的代码节点，提取参数中的硬编码键（比如"key1"这类固定字符串）。
• 若不想开发工具，也可通过正则表达式快速搜索代码中的Set\("、Get\("片段，先批量提取硬编码键，但这种方式无法识别动态生成的键。

优劣对比 #

• 优势：无需运行应用，完全不影响生产环境；能覆盖代码中定义的所有潜在缓存键，适合作为首次基准审计的基础。
• 劣势：无法捕获动态生成的缓存键（比如$"user_{userId}"这种变量拼接的键）；无法确认这些键是否在运行时实际被使用；也无法获取键对应的具体值。

二、动态运行时监控方案 #

两种实现思路 #

1. 修改CacheManager抽象层：在Set和Get方法中添加审计逻辑，将每次操作的键、值、操作类型（存/取）记录到本地文件或专用存储（如数据库）。示例代码如下：

   public void Set(string key, object value)
   {
       // 原有Redis操作逻辑
       _redisClient.Set(key, value);
       // 添加审计记录
       AuditHelper.LogCacheOperation("SET", key, value?.ToString());
   }
   

2. 利用Redis原生能力：开启Redis的键空间通知（Keyspace Notifications），可捕获所有键的创建、修改操作；定期用SCAN命令遍历Redis中的所有键（生产环境禁止用KEYS *，会阻塞服务）。注意MONITOR命令仅适合测试环境，生产环境使用会严重影响性能。

优劣对比 #

• 优势：能准确捕获运行时实际使用的所有缓存键，包括动态生成的键；可记录键对应的具体值；完全反映真实的缓存使用情况。
• 劣势：需要修改代码或调整Redis配置，生产环境可能存在轻微性能损耗；仅能捕获监控期间产生的键，无法覆盖历史上存在但已失效的键。

三、推荐组合方案 #

1. 首次基准审计：

   • 先用静态代码分析扫描所有硬编码键；
   • 再通过Redis的SCAN命令获取当前Redis中存在的所有键；
   • 合并两者结果，得到完整的基准键列表。

2. 每季度定期审计：

   • 运行静态代码分析，对比上次基准找出代码中新增的硬编码键；
   • 开启1-2周的运行时监控，捕获动态生成的新增键；
   • 最后用SCAN命令获取当前Redis的所有键，与基准列表对比，确认新增、删除的键。

这种组合既能覆盖代码中定义的潜在键，又能捕获运行时的真实使用数据，确保审计的完整性。

内容的提问来源于stack exchange，提问作者user2263617