4. 缓存穿透：定义、产生原因、边界测试场景设计（大量不存在的key）

4.1 定义

缓存穿透 是指客户端请求的数据在缓存中不存在，在数据库中也不存在，导致每次请求都直接穿透缓存层，直达数据库。由于缓存层无法命中，数据库层也查询不到结果，这类请求会绕过缓存保护，对后端数据库造成直接压力。

4.2 产生原因

缓存穿透通常由以下三类场景引发：

4.3 缓存穿透流程示意图

下图展示了正常请求与穿透请求的路径差异：

4.4 边界测试场景设计

针对缓存穿透，边界测试需要覆盖以下核心场景：

4.5 测试验证关键指标

在边界测试执行过程中，需要重点采集以下指标：

• 数据库 QPS 峰值： 穿透场景下数据库每秒查询数，不应超过数据库承载上限的 80%。
• 缓存命中率： 正常请求命中率应 ≥ 95%，穿透攻击时命中率可能骤降至 0%。
• P99 响应时间： 穿透请求的 P99 响应时间不应超过 500ms，否则说明数据库已过载。
• 错误率： 数据库连接超时或拒绝连接的比例应 < 1%。
• 空值缓存写入量： 单位时间内写入 Redis 的空值缓存数量，用于评估缓存空间消耗。

4.6 测试数据构造方法

为了高效构造大量不存在的 key，推荐以下数据生成策略：

// 示例：Java 测试数据生成器
public class PenetrationKeyGenerator {
    // 生成 N 个不存在的用户 ID
    public static List<String> generateNonExistKeys(int count) {
        List<String> keys = new ArrayList<>();
        // 已知数据库中最大用户 ID 为 100000
        int maxDbId = 100000;
        for (int i = 0; i < count; i++) {
            // 生成远大于最大 ID 的值，确保数据库不存在
            int fakeId = maxDbId + 100000 + i;
            keys.add("user:" + fakeId);
        }
        return keys;
    }

    // 生成边界值 key 集合
    public static List<String> generateBoundaryKeys() {
        return Arrays.asList(
            "user:",
            "user:null",
            "user:" + "A".repeat(1024),
            "user:__proto__",
            "user:<script>alert(1)</script>"
        );
    }
}

4.7 测试执行步骤

1. 准备阶段： 清空 Redis 缓存，确保数据库中存在已知 ID 范围（如 1~100000）。
2. 基线测试： 使用 1000 个存在的 key 请求，记录正常缓存命中率和数据库 QPS。
3. 穿透测试： 使用 PT-01 至 PT-06 场景分别执行，每次持续 60 秒。
4. 监控采集： 通过 Prometheus + Grafana 实时监控 Redis 和 MySQL 指标。
5. 结果分析： 对比基线数据，评估穿透对系统的影响程度。
6. 防护验证： 开启布隆过滤器或空值缓存后，重复穿透测试，验证防护效果。