私域是终身用户资产，非流量池

　　去年十二月，凌晨三点十七分，我盯着日志里那串IP——183.129.247.198——眼熟得像上个月在溯源一个被改首页的WordPress站点时见过，当时它混在CDN回源里，跳了四次，最后停在东莞一个IDC的冷备机房。但这次没跳，直接打到咱们私域运营后台的Webhook接口，带了个带斜杠的Referer头，后面还拖着个没闭合的引号。我没动，等它再刷一次。它刷了。我切了三个窗口：一边看WAF告警（全是规则942100，SQLi基础payload），一边开SSH连那台没配审计的Redis从库（密码是default，运维说“就查查数据”，查了三年没换过），一边把那个IP扔进蜜罐。结果蜜罐没响，倒是群里突然@全员：“所有服务全量重启，NOW。”是老张，他敲完回车三秒后，我看到监控图上那根CPU曲线像被人用指甲掐断了。

文章配图，仅供参考

　　我原以为是新来的实习生在测试环境手滑跑了脚本，结果调了GitLab的push日志，发现最近一百二十次提交，八十三次来自王磊的工号，最后一次是十二月三号凌晨四点零五分，合并进prod分支的commit message写着：“修了企微bot消息模板里的空格”，但diff里只有一行删掉两个中文顿号。这事儿跟我没关系，可我就顺手点开那个bot的日志文件，看见一行timestamp: 2023-12-12T01:59:23.712Z, event: "message_received", user_id: "wm_1e8c9f...", content: "您好，请问怎么解绑"——后面接了整整十八秒的空白字符。服务器上多出来一个叫`.bash_history.tmp`的文件，权限644，属主root，修改时间是十二月十号晚上九点二十一分，内容只有三行：`cd /opt/app/`, `ls -la | grep -i bot`, `exit`。谁干的？我说不准。老张说不是他，王磊说他那天在家陪娃打疫苗，我信一半。

　　私域是终身用户资产，非流量池。这个结论我在十二月十六号下午两点零三分确认的——那天WAF把一批微信小程序端的请求全拦了，报的是932100（SSRF检测），但原始UA里明明带着`MicroMessenger`和`miniprogram`字段，我们自研的白名单中间件根本没起作用。我翻代码，翻到一个叫`wechat_sign_validator.go`的文件，里面第两百零七行有个硬编码的host白名单，写的是`api.weixin.qq.com`、`mmbiz.qpic.cn`，还有一行注释：“加这几个够用了”。够用？上周刚上线的视频号小店对接，走的就是`channels.api.weixin.qq.com`，而这个域名不在白名单里。我把这条漏掉的域名加进去，重新部署，WAF立刻静音。那一刻我就知道，流量池的逻辑崩了——流量池是拿命换UV，今天封IP、明天改User-Agent、后天绕CDN，你永远在堵洞；私域不是，私域是你手上那批ID绑定微信openID、手机号、设备指纹、甚至微信支付订单号的实体人，他们不会因为WAF误杀就消失，只会安静地躺在MySQL的`user_profile`表里，等着你哪天修复签名逻辑再唤一声“老铁”。安全是成本不是收入，这话我敢打包票。你给风控系统加十个特征模型，不如让产品在用户授权页多放一句“我们会用你的头像昵称优化服务体验”——这句话能让恶意注册率降三百七十二，但没人愿测，因为KPI不认这个数字，只认DAU曲线有没有翘起来。

　　前两天溯源一个横向移动路径，卡在了内网DNS日志里一段`NXDOMAIN`响应，查了半天发现是某个测试环境的服务往`consul.service.dc1.consul`发了查询，而Consul集群早被下线了，但配置没清，于是所有解析失败都打到边界DNS服务器上，再被WAF当成探测行为记录。我查了六小时，最后删掉三行YAML就完了。可这事跟私域有什么关系？没啥关系。就是想起来就说一句。

　　王磊昨天问我：“能不能把私域用户打标成‘高危访问者’？”——他想把所有触发过WAF拦截、且来源是微信内嵌浏览器的用户，塞进CRM的黑名单标签。我说不行。他说为啥。我说你去翻下`wxid_7a8b9c...`这个用户的最后一次交互，时间戳是二零一九年五月四号，内容是“客服在吗”，然后他就再没来过。但他的手机号还在库里，微信openID还能正常回调，设备指纹也还能关联到三个月前的视频号下单行为。这种人你标“高危”？你标的是你自己没能力区分真实攻击和前端兼容性Bug的尴尬。我删了他提的那个PR，回了句“别动核心表字段”。但他还是偷偷建了个视图，叫`v_risky_wechat_users_v2`……

　　群里又@全员了，这次是运维喊：“SSL证书续签失败，三级域名`bot.api.xx.com`拒签，ACME验证返回404”。我看了眼证书链有效期，还有二十八天。现在重跑Let’s Encrypt流程，要先改nginx配置、再等DNS TTL过期、还得手动清理边缘CDN缓存——但这些都不急。我先打开`/etc/cron.d/letsencrypt-auto`，发现最后一行被改成`#0 3 root /usr/bin/certbot renew --quiet --post-hook "/bin/systemctl reload nginx"`，前面加了井号。是谁注释的？我不知道。我也不打算问了。现在先把`user_profile`表里那批openID未失效但last_login_time > 365天的用户捞出来，导出一份CSV，发给合规组——他们上周催第三遍了，说要补《用户信息使用授权书》二次签署。反正闲着也是闲着。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!