Redis 连接报 NOAUTH 或 WRONGPASS

Redis 客户端返回 NOAUTH Authentication required 或 WRONGPASS invalid username-password pair or user is disabled，先区分有没有发送认证、发送的凭据是什么，以及服务端实际使用哪份配置。把两个错误都当成“密码输错了”，容易忽略客户端没认证、ACL 用户被禁用，或配置里保留了字面量占位符。

环境变量存在，不表示挂载文件已经替换

容器环境里有 REDIS_PASSWORD，并不表示挂载的 redis.conf 已经过模板替换。如果服务端把字面量 ${REDIS_PASSWORD} 作为 requirepass 加载，客户端用真实密码连接就会与它不匹配。

确认 Redis 实际加载了字面量占位符后，再检查文件生成与加载流程。Compose 的 YAML 插值、shell 的命令展开和 Redis 读取挂载文件分别发生；具体镜像或启动脚本是否会生成配置，需要按所用版本和流程核对。

三种错误分别看什么

错误	可以确认的阶段	下一步
NOAUTH	这条连接尚未完成所需认证	检查客户端是否配置密码及用户名，是否连对实例
WRONGPASS	认证凭据未被接受	核对用户名、密码、用户是否启用以及配置来源
NOPERM	命令被 ACL 权限拒绝	检查该用户的命令或键权限，不继续盲目改密码

Redis 6 及以上的 ACL 认证可以使用用户名和密码；单参数 AUTH password 对应默认用户。自定义用户名存在时，客户端不能只发送密码并期待自动选中那个账号。

从真实连接路径检查认证

如果你的 Redis 版本和客户端支持 --askpass，可以避免把密码写在命令行上：

# 主机、端口及用户名为示例，按实际替换
redis-cli -h 127.0.0.1 -p 6379 --user app --askpass PING

它会提示输入密码。需要 TLS 的部署还要提供 TLS 与 CA 参数；连云服务时，不能照搬一个明文本地地址。旧客户端不支持这项选项时，先按版本查可用的交互认证方式，不把密码贴进公开日志。

认证成功后返回 PONG 表示这个连接可以执行 PING，不代表它有读写所有业务键的权限。若出现 NOPERM，说明应检查授权。应用仍报 WRONGPASS 时，则比较应用与命令行的目标主机、用户名和凭据来源；尤其注意 URI 中特殊字符的编码和秘密文件末尾是否多了换行。

诊断不能只发生在宿主机。应用容器如果连接自己的 localhost，可能根本没到预期 Redis；应使用真实部署路径检查，避免一个正常实例掩盖另一个实例的问题。

查实际加载的配置，不公开秘密

先看 Redis 启动命令和配置挂载路径。下面假设 Compose 服务名为 redis：

docker compose ps
docker compose logs --tail=80 redis
docker inspect --format '{{json .Config.Cmd}}' \
  "$(docker compose ps -q redis)"
docker inspect --format '{{json .Mounts}}' \
  "$(docker compose ps -q redis)"

启动参数可能含敏感信息，只在授权环境查看并脱敏。确认程序究竟读取哪份文件、有无前置模板脚本，以及你编辑的文件是否挂载到了那个位置。自定义镜像、官方 Redis 镜像、Redis Stack 或其他发行版的变量约定不一定相同，应查所用镜像的文档。

如果已确认服务端把占位符当作实际密码，修复的是配置生成与加载流程。可以使用受权限保护的真实配置文件，或者明确的、正确处理转义的模板生成流程；不要仅增加一个同名容器变量就假定问题消失。密码需要包含特殊字符时，必须遵守 Redis 配置文件的引用规则，也要检查模板没有把它变成 shell 代码。

已有实例改认证配置前，保存原配置并确认持久化数据路径，安排客户端凭据同步。不要用关闭认证、打开公网端口或删除 Redis 数据卷作为修复办法。读取或共享 requirepass 输出可能直接泄露密码，不应贴到公开页面。

ACL 用户需要分别检查启用、密码与权限

若使用自定义 ACL 用户，管理员应核对用户是否为 on、是否设置了预期密码，以及是否只授予业务必要的命令和键范围。WRONGPASS 的信息本身不能帮助你断定是用户名错、密码错还是用户被禁用，这些必须通过服务端配置判断。

requirepass 在 Redis 6 以后与默认用户的认证机制相关；它不是任意自定义 ACL 用户的密码开关。核对 Redis 7.2 的配置时，应同时检查 requirepass 与 ACL 设置；其他主版本按其对应规则处理。涉及外部 aclfile 或运行时 ACL 修改时，还要确认变更如何持久化，避免重启后恢复旧规则。

修改密码或启用状态可能影响新连接，已有连接的行为也取决于具体 ACL 操作；应在受控窗口按目标版本的规则操作。保留可用管理通道及恢复配置，不要把管理员自己的访问一起切断。

验收认证，也验收最小业务权限

修复后让应用重新建立连接，用实际业务账号执行所需的读写操作，并确认未授权操作仍受限制。命令行 PING 成功而应用失败，继续比较两者配置；应用只有部分命令失败，则检查 ACL 授权，而不是无限轮换密码。