Redis ACL WHOAMI 怎样确认当前连接使用的用户

想确认 Redis 当前连接到底使用了哪个 ACL 用户，直接执行 ACL WHOAMI 即可。它返回的是“这条连接已经认证成的用户名”，不是所有用户列表，也不会展开命令、键和频道权限。新连接通常关联 default 用户；如果连接随后使用双参数 AUTH 切换身份，ACL WHOAMI 会反映切换后的用户。

官方地址：https://redis.io/docs/latest/commands/acl-whoami/

排查 ACL 权限问题时，先在与业务相同的连接上读取 ACL WHOAMI，再讨论权限规则。这样可以先排除“应用认证成了另一个用户”这一类误判。

ACL WHOAMI 读取的是哪一个身份

Redis ACL 把连接和用户关联起来。客户端建立连接后，如果没有显式切换身份，Redis 会按当前配置把连接关联到 default；使用 AUTH 用户名 密码 成功认证后，连接则关联到指定用户名。ACL WHOAMI 只读取这个连接上下文里的有效用户名。

因此，ACL WHOAMI 与 ACL USERS、ACL LIST 的用途不同：

用 redis-cli 读取当前连接用户

最小命令不需要额外参数，关键是保证 ACL WHOAMI 与业务使用的是同一条连接。如果只想确认默认身份，可以先建立连接再执行：

# 读取当前连接关联的 ACL 用户名
redis-cli -h 127.0.0.1 -p 6379 ACL WHOAMI

返回可能是 "default" 或某个自定义用户名。它是 Redis 返回的字符串，不是权限清单。命令从 Redis Open Source 6.0.0 开始提供，时间复杂度为 O(1)，适合放在连接排查或客户端初始化日志中，但不要把密码写入日志。

如果连接需要显式认证，应在同一条客户端会话中完成认证和身份读取：

# 先用目标用户认证，再在同一条连接上读取有效身份
redis-cli -h 127.0.0.1 -p 6379 \
  --user app-reader --pass '请从安全配置注入密码' \
  ACL WHOAMI

这里的密码占位符只是说明参数位置，实际部署应通过受控的环境变量、凭据注入或客户端配置传递，避免把真实密码放进 shell 历史、脚本仓库或文章日志。

在应用客户端里要复用同一条连接

应用排查时最容易出现的错误，是先在连接 A 上执行认证，再从连接池拿出连接 B 执行 ACL WHOAMI。这样读到的身份可能是另一个连接的默认用户。正确做法是让认证、身份读取和需要判断的业务命令处在同一个连接上下文中。

// 先认证当前连接，再读取当前连接的有效 ACL 用户
ctx := context.Background()
if err := client.Do(ctx, redis.NewCmd(ctx, "AUTH", "app-reader", password)).Err(); err != nil {
    // 认证失败时不要继续把后续权限错误归因给业务命令
    return fmt.Errorf("redis auth failed: %w", err)
}

// WHOAMI 只返回用户名，不返回该用户的完整权限规则
name, err := client.Do(ctx, redis.NewCmd(ctx, "ACL", "WHOAMI")).Text()
if err != nil {
    // 保留原始错误，便于区分命令不可用与连接状态问题
    return fmt.Errorf("read redis acl user failed: %w", err)
}
log.Printf("redis acl user=%s", name)

示例使用客户端的通用命令接口表达 Redis 协议调用关系；具体 Go 客户端的连接池、认证参数和命令构造方法可能不同。判断原则不变：AUTH 和 ACL WHOAMI 必须作用于同一个连接。

根据返回值判断连接状态

WHOAMI 的返回结果很短，但排查时仍要区分三种情况。返回 default 不代表命令失效，只表示当前连接仍关联默认用户；返回自定义用户名说明认证身份已经切换；如果认证本身失败，应先处理认证错误，而不是把失败后的业务命令当作权限结论。

ACL WHOAMI 的职责是确认身份，不是验证权限。即使返回了正确用户名，也不能直接推出该用户能访问哪些键或执行哪些命令；这部分要结合 ACL 规则和具体业务命令单独判断。

兼容范围和常见误区

Redis 官方命令文档标明，ACL WHOAMI 自 Redis Open Source 6.0.0 起可用，RESP2 和 RESP3 都返回当前连接用户名。使用 Redis 代理、托管服务或连接池时，还要确认中间层没有替换连接，也没有把认证动作放在另一条短连接上。

• 不要用 ACL USERS 的结果代替当前连接身份，它只能说明实例有哪些用户。
• 不要在认证连接释放回连接池后，假设下一次取出的连接仍是同一用户；应在连接生命周期内完成身份确认。
• 不要把用户名确认结果当成权限确认结果；身份和权限是两个不同的排查维度。
• 不要记录真实密码或完整认证参数，日志只保留用户名和必要的错误类型。

相关问题

ACL WHOAMI 返回 default 是不是没有启用 ACL？

不一定。default 本身就是 Redis ACL 中的默认用户，未显式切换身份的连接可能自然关联它。应结合实例配置和连接是否执行过双参数 AUTH 判断。

ACL WHOAMI 能查看当前用户有哪些权限吗？

不能。它只返回用户名；要查看规则，需要使用有权限的 ACL 查询命令，并把规则读取与当前连接身份确认分开处理。

为什么认证成功后 WHOAMI 还是 default？

常见原因是认证和 WHOAMI 不在同一条连接上，或者客户端仍使用单参数 AUTH 的兼容形式。先记录连接生命周期，再确认发送的是带用户名的认证请求。