保护数据流

生产安全基准

• 使用 wss 并验证完整的服务器证书链。

• 在需要时使用专用 CA 信任包；请勿设置不安全或无验证 TLS 模式。

• 在批准的密钥管理器中存储密码、客户端私钥和令牌。在运行时将其注入。

• 请勿将身份证明放在 WebSocket URL、日志、shell 历史记录、配置系统信息库或 AsyncAPI 文件中。

• 授予每个管理任务所需的最小 GoldenGate 角色，并尽可能将管理凭证与运行时使用者凭证分开。

• 限制对批准的客户机子网、服务和代理路由的网络访问。

• 在不丢失持久使用者检查点的情况下轮换凭证和证书。

反向代理注意事项

反向代理可以更改公共主机、路径前缀、验证模式、TLS 终止点、空闲超时、最大消息大小和 WebSocket 升级行为。验证以下所有项：

• 将转发 HTTP Upgrade 和 Connection 头以进行 WebSocket 握手。

• 空闲和读取超时超过预期的静默时间，或者 ping/pong 流量使连接保持活动状态。

• 最大帧和消息大小超过了配置的数据流记录和批处理大小。

• 生成的 AsyncAPI YAML 会公开可从外部访问的主机和通道地址。

• 根据安全设计传递或终止验证标头和客户端证书。

敏感有效负载数据

数据流可以公开完整的行映像、DDL、令牌、主机详细信息、数据库名称和源 URI。将数据分类、字段最小化、屏蔽或标记化、传输中和静态加密、访问日志记录和保留控制应用于消费者和每个下游副本。避免启用 env、sys 或所有标记，除非已复查每个发出的值。