由 dawei 某次安全扫描发现，搜索服务底层ES集群存在未授权访问漏洞，团队紧急下线相关API并修复认证逻辑。但修复后用户反馈搜索结果缺失、排序错乱，监控显示部分索引文档数骤降40%——问题不在安全补丁本身，而在于漏洞暴露期间，恶意爬虫持续高频写入伪造文档，污染了主索引。
AI绘图结果，仅供参考
团队没有选择全量重建：12TB数据预计耗时72小时，业务无法承受长时间降级。转而采用“差分重建”策略：基于Elasticsearch的索引别名机制，新建临时索引，仅同步近7天增量数据与核心业务实体的全量快照（商品库、用户档案等），同时利用_logstash_管道对原始写入日志进行清洗过滤，剔除异常UA、无意义路径和重复ID的请求记录。
为加速构建，关闭临时索引的副本分片与刷新间隔，启用bulk API批量写入（每批5000条），并调大JVM堆内存至32GB。同步过程中，通过_index stats_实时比对文档总数、段合并状态及字段统计值，确保数据完整性。当临时索引文档数与预期一致且校验哈希匹配后，用原子操作切换别名指向新索引。
切换后首分钟QPS回升至正常水平98%，平均响应时间从1.8秒降至320毫秒。关键改进来自两处：一是清理掉原索引中370万条无效URL字段，显著减少倒排索引体积；二是重设analyzers，将商品标题的ngram切分粒度由1-3调整为2-4，更好覆盖“无线耳机”“真无线”等长短关键词共现场景。
后续建立防护闭环：在网关层增加IP信誉库+请求频率动态熔断，在ES写入前部署轻量级Schema校验中间件，拦截非法字段与超长值。每次索引变更均触发自动化回归测试，涵盖覆盖率、召回率与Top3结果一致性三个维度。漏洞修复不再是终点，而是搜索质量持续优化的新起点。