远程客户端连接Redis时收到DENIED Redis is running in protected mode，本机连接却正常。这是Redis的安全保护行为，说明当前连接不符合允许的网络与认证条件。
不要为了连通而直接关闭保护模式并暴露端口。应先设计可信访问范围和认证。
保护模式何时会生效
Redis官方安全文档说明，从3.2.0开始，实例在默认配置、监听所有接口且没有访问密码等保护时，会进入保护模式。来自非回环地址的连接会被拒绝并终止。
这个错误不是服务宕机，而是安全边界主动阻止远程访问。处理时要同时检查版本和实际生效配置。
先确认应用应该从哪里访问
核对Redis与应用是否在同一主机、私有网络或容器网络，并检查bind、端口监听、防火墙和云安全规则。Redis官方建议只允许实现应用的可信计算机访问Redis端口。
Redis端口不应直接向整个公网开放。即使配置了密码，也要保留网络层限制。
用ACL和认证建立访问控制
现代Redis可使用ACL定义用户、命令和键访问范围。为应用创建最小权限账户，安全地分发凭据，并核对客户端是否发送正确用户名与密码。旧式单密码方案能力更有限。
认证信息不要写入公开仓库或命令历史。权限变更后还应测试应用需要的全部命令。
何时才考虑调整保护模式
只有网络隔离、监听地址与认证都已配置并验证后，才评估保护模式设置。直接使用运行时命令关闭保护，重启后还可能恢复原配置，也容易留下未经审计的暴露面。
可以在萤光云或LightNode的独立VPS验证私网访问。目标是建立完整安全边界，不是让错误提示消失。
怎样验证连接安全
从授权应用主机测试认证与业务命令，从未授权位置确认连接仍被阻断；同时检查Redis日志、监听地址及防火墙规则。外部扫描不应发现面向公网开放的Redis服务。
验收标准是可信客户端可用、权限最小化，不可信来源无法建立有效会话。
FAQ
问：把protected-mode设为no就行吗？答：不建议单独这样做；缺少网络限制和认证时会扩大暴露风险。
问：本机redis-cli正常为何应用不行？答：本机通常走回环地址，远程应用受监听、网络和认证配置共同影响。
温馨提示
温馨提示：变更Redis访问范围前先备份配置，记录允许的应用地址，并为异常认证和连接建立日志告警。
