前情提要上一篇我们解决了能不能通的问题用 C Socket 自建通信层替代了 SFTP 定时轮询实现了秒级上报。但通信层一旦跑通紧接着就要回答两个问题怎么保证安全怎么做到可扩展这篇我们把架构定下来。一、安全Server 是唯一的挡板既然数据库不直接暴露那 Server 的监听端口就成了唯一的攻击面。我们不能只依赖防火墙必须在协议层做几道关卡。1.1 两道连接门槛模式说明适用场景开放模式符合协议格式即可连只校验魔数和帧长内网可信环境快速部署授权模式需携带有效 Token 才能完成注册生产环境默认开启Client 首次连接时先走 REGISTER 帧。若 Server 配置为授权模式帧载荷必须包含 Token否则直接断连。1.2 Token 的传输用 RSA 做端到端加密Token 不能明文传。我们在部署阶段预置密钥对Server持有私钥用于解密 Client 上报的 TokenClient持有公钥用于加密本地 TokenClient: Token(明文) --[RSA公钥加密]-- Token(密文) --传输-- Server --[RSA私钥解密]-- 校验这样即使抓包拿到的也只是密文。Token 本身定期由 Admin 统一轮换。1.3 连接保持SessionID SeqToken 只验一次后续靠会话机制防重放和劫持SessionID注册成功后 Server 下发32 字节随机串后续每帧必带Seq每帧自增Server 校验连续性跳号或复用直接断连1.4 文件传输的安全边界Client 支持文件上报如日志、dump但必须设死几条红线cpp// 文件名安全检查示例bool ValidateFilename(const std::string name) {if (name.empty() || name.size() 128) return false;if (name[0] / || name[0] \\) return false; // 拒绝绝对路径if (name.find(..) ! std::string::npos) return false; // 拒绝路径穿越if (name.find(\0) ! std::string::npos) return false; // 拒绝截断return true;}// 文件大小检查if (file_size MAX_FILE_SIZE) { // 例如 50MBreturn ERR_FILE_TOO_LARGE;}原则通信层只认文件名和二进制流不认路径。Server 端按 session_id timestamp filename 落盘杜绝 Client 指定存储位置。二、扩展性通信层不动应用层随便改安全有了但如果每次加一张表、加一个功能都要改 C 通信代码这架构就是死的。我们要做到通信层一次写死业务层随意扩展。2.1 Client 端指令转 ShellClient 本地维护一个指令表。Server 下发指令时Client 不做业务处理而是调用 Shell完成cpp// Client 指令处理极简逻辑if (frame.type CMD_EXEC) {std::string cmd ParseCmdFromPayload(frame.payload);// 白名单校验可选if (Whitelist::Contains(cmd)) {system(cmd.c_str()); // 或 popen 捕获输出}}新增采集项不用改 Client。Server 下发一条新指令即可。2.2 Client 端文件传输独立封装文件传输走独立帧类型与指令、数据上报解耦plainFRAME_TYPE_FILE_START // 通知文件名、大小、MD5FRAME_TYPE_FILE_CHUNK // 传输分片FRAME_TYPE_FILE_END // 校验完成应用层想传文件就调用封装好的接口与定时任务上报互不干扰。2.3 Server 端通信与入库解耦ServerC只负责三件事收数据、鉴权、转发。它绝不直接连数据库。Server 收到数据后通过本地 IPCUnix Domain Socket 或 TCP 回环丢给DB ServicePython 服务[Server: C] --(protobuf/json)-- [DB Service: Python] -- [MySQL/TDengine]好处显而易见C 专注高并发网络Python 专注数据建模和入库加新表改 Python 的 ORMC 不用动DB Service 崩溃Server 把数据暂存本地队列DB Service 重启后继续消费2.4 管理端独立的 Admin Client不把管理功能做进 Web Server 进程而是单独做一个Admin ClientWeb 后台下发管理指令如更新 Token、下发脚本、查询 Agent 状态Admin Client 作为特殊 Client连到 Server拥有更高权限的指令集Server 对 Admin Client 的帧做额外标记校验如 FLAG_ADMIN 0x80这样 Web 层完全无状态重启不影响已建立的 Agent 连接。三、两条链路以上设计落地后系统形成两条清晰的链路上行链路数据上报Shell/采集脚本-- zmAgent(Client)-- zmServer(C)--db_service(Python)-- Database-- WebServer-- 前端展示下行链路指令下发Web 管理台-- WebServer-- zmAdmin(Admin Client)-- zmServer(C)-- zmAgent(Client)-- Shell 执行-- 结果返回可选走上行链路回传Server 是枢纽但只做转发不碰业务逻辑。整体架构示意图如下:四、协议头定义示例版结合安全和扩展需求协议头定死为 12 字节固定头 变长载荷cpp#pragma pack(push, 1)struct ProtocolHeader {uint8_t magic; // 0x5A Zuint8_t version; // 0x01uint8_t type; // 帧类型uint8_t flags; // 标志位uint16_t length; // 载荷长度大端uint32_t seq; // 序列号大端uint32_t session; // 会话标识注册前为0};#pragma pack(pop)flags 位定义表格位含义0x01是否加密RSA/AES0x02是否压缩zlib0x04是否分片大文件/大数据0x80是否管理帧Admin Client 专属帧类型部分cppenum FrameType : uint8_t {HEARTBEAT 0x01,REGISTER 0x02,REGISTER_ACK 0x03,REPORT 0x10, // 指标上报CMD_EXEC 0x20, // 指令下发CMD_RESULT 0x21, // 指令结果FILE_START 0x30,FILE_CHUNK 0x31,FILE_END 0x32,ADMIN_CMD 0x40 // 管理指令};魔数 版本 类型 标志 长度 Seq Session12 字节。Server 收包时先读 12 字节校验魔数和长度再读载荷。粘包、错包一眼识别。五、小结这一篇我们把骨架搭好了安全Token RSA 防窃听Session Seq 防重放文件名白名单防穿越扩展Client 转 Shell、文件传输独立接口封装、Server 与入库解耦、Admin 独立链路上行采集下行管控Server 只做枢纽协议12 字节定长头支持加密、压缩、分片、管理标记下一篇《全栈之路3---zmagent 开发实现》我们开始写代码先把 Client 端跑起来。