关于Bolt查询的日志可见性及防拦截安全防护的技术咨询

一、Bolt查询是否会出现在日志或其他位置？ #

• 默认配置下，Neo4j不会将Bolt执行的查询写入常规日志（如neo4j.log）。
• 以下场景中查询会被记录：
  • 开启查询日志后：若设置dbms.logs.query.enabled=true，所有Bolt提交的查询会被写入query.log，包含完整查询文本、执行时长、发起用户等信息。
  • 触发错误/警告时：当查询执行失败或触发系统警告，相关的查询片段或完整内容可能出现在debug.log或neo4j.log中。
  • 启用审计日志后：审计日志会完整记录所有Bolt连接的操作细节，包括查询文本、执行用户、客户端IP等，这是最全面的查询记录方式。

二、Bolt查询的安全防护措施 #

• 关闭非必要日志：保持dbms.logs.query.enabled=false（默认配置），避免查询文本被写入日志；若无需审计功能，不要开启审计日志。
• 严格管控日志文件权限：对包含查询信息的日志文件（如query.log、审计日志）设置严格的系统权限，例如将文件权限设为600，仅允许Neo4j进程所有者和授权管理员读取。
• 强制使用参数化查询：Bolt支持参数化查询，即使日志开启，也只会记录查询模板，不会泄露敏感参数值。示例：

  MATCH (u:User {id: $userId}) RETURN u
  

  日志中只会保留上述模板，不会显示具体的userId数值。
• 加密Bolt传输链路：配置dbms.connector.bolt.tls_level=REQUIRED，启用TLS加密，防止查询在网络传输过程中被嗅探拦截。
• 限制Bolt端口访问：通过防火墙规则或Neo4j的dbms.connector.bolt.listen_address配置，仅允许信任的IP地址访问Bolt端口（默认7687），降低非法连接风险。
• 定期审查权限：定期检查日志文件的访问权限，确保非授权人员无法读取包含敏感查询的日志内容。

内容的提问来源于stack exchange，提问作者MPesi