12 数据客户端与控制台

数据客户端与控制台解决的是“团队怎么安全、稳定、可复现地访问研发数据服务”。一次生产查询的风险不只来自 SQL：环境标识看错、SSH 隧道复用、TLS 校验被关闭、GUI 只读开关失效、导出文件落入个人目录、查询历史保存凭证，都可能把一次排障变成数据事故。

架构师看数据客户端，不能只问“哪个工具好用”。真正要问的是：默认账号是不是只读，控制台能不能绕过审批直接写生产，查询历史和导出文件会不会留下二次泄漏面，GUI 的只读开关是否只是本地提醒，团队离职、换岗、证书轮换和工具授权怎么回收。

从访问对象选择第一把工具

现场问题	首个工具	必须确认的身份与边界	高风险动作
JetBrains 工程内需要 SQL 分析与项目数据源	DataGrip	JDBC 驱动、introspection、项目配置、session、SSH / TLS	项目配置泄密、Analyse 真实执行、IDE 导出
多种数据源需要统一工作台和连接护栏	DBeaver	edition、driver、connection type、事务模式、Security	Auto-commit、数据传输、history 二次泄漏
需要成熟图形工作流、模型和商业支持	Navicat	产品/edition、许可、连接、同步与云端边界	图形编辑、结构同步、全量导出、席位未回收
MySQL 图形化查询、建模与导入导出	MySQL Workbench	当前用户、实例、database、SSL 模式、本地历史与工作区	Safe Updates 失效、连接缓存残留、导出文件越界
MySQL 批处理、终端复现与退出码判断	MySQL 与 mysql CLI	客户端版本、login-path、TLS 身份、脚本退出状态	明文密码、历史泄露、误连生产与忽略失败
PostgreSQL 图形化查询、计划与共享管理	pgAdmin	Desktop/Server mode、Query Tool、配置数据库、历史与存储	自动提交、可编辑结果、集中导出与跨版本共享卷
PostgreSQL 终端复现与批处理	PostgreSQL 与 psql	service、passfile、TLS、身份、退出码与历史	`\copy` 落盘、启动文件污染、脚本静默继续
Redis key、TTL 或 ACL 排障	RedisInsight、Redis 与 redis-cli	endpoint、DB、ACL user、key prefix、TLS	`KEYS`、Profiler、批量删除、RDB 导出
MongoDB 图形化文档、Schema 与查询计划排障	MongoDB Compass	Saved Connections、database、authSource、read preference、本地状态	界面写入、聚合放大、导出和连接串泄漏
MongoDB 终端复现与批处理	MongoDB 与 mongosh	shell 版本、URI、启动文件、脚本退出码、history	明文密码、历史泄漏、错误静默继续
Elasticsearch 查询、Space 与 Saved Objects	Kibana	cluster、Space、Data View、feature 与 index privilege	Dev Tools 写 API、索引删除、无界搜索
OpenSearch 查询、Tenant 与对象协作	OpenSearch Dashboards	cluster、Tenant / Workspace、index pattern、Security role	服务角色复用、危险 API、跨 Tenant 误判
ClickHouse Native 查询、批处理与导入导出	ClickHouse 与 clickhouse-client	endpoint、database、user、query_id、TLS、settings profile	大扫描、并发查询、历史、AI SQL 与文件数据出域
RabbitMQ / Kafka 内置管理能力	RabbitMQ Management、Kafka CLI	cluster、vhost、topic、consumer group、服务端身份	publish、purge、reset offset、配置变更
独立消息可视化控制台	RocketMQ Dashboard、Kafbat UI、AKHQ	NameServer / bootstrap、ACL、UI 角色、消息脱敏	发送、重投、删除、offset 与动态配置

任何客户端连接前，都应先拿到受控环境的访问申请入口，明确直连、VPN、堡垒机、SSH 隧道或浏览器控制台的网络路径，并区分只读账号、临时写账号、服务账号和管理员账号。CA、客户端证书、SSH 私钥、代理、白名单和证书轮换必须有责任人；导出、截图、查询历史和工单附件也必须遵守同一套脱敏与销毁规则。

三款 SQL GUI 能覆盖相近的查询现场，但控制模型不同：DataGrip 把数据源和 SQL 纳入 JetBrains 项目，DBeaver 强在多数据源与可配置 connection type，Navicat 提供商业桌面、模型和数据传输工作流。个人可以保留操作偏好，组织必须统一服务端最小权限、驱动来源、生产事务和数据出境规则。

一次可信的数据访问闭环

一个数据客户端进入团队模板前，至少要证明五件事：能连接目标环境，能确认当前身份和数据库范围，能执行小样本只读查询，写操作被服务端权限拦住，导出和历史记录不会带出真实凭证与敏感数据。

团队治理原则

原则	判断标准
服务端权限优先	换成任意 CLI 或 GUI 后，生产账号仍只能读；客户端只读开关只是第二道防线
生产默认只读	写入、删除、导入、重置 offset、purge、publish 必须临时授权、可审计、可回收
小样本优先	查询必须有 database / schema / index / key prefix / topic / 时间窗口 / limit
导出不是备份	GUI / CLI 导出只用于排障样本和脱敏证据，不替代服务端备份恢复
历史可清理	SQL、shell history、console history、query log、导出路径和截图都要有清理说明
模板不带密码	共享连接模板只放 host、port、database、schema、SSL 模式、权限说明和申请入口

docs/tools/data-client/
  connection-policy.md
  readonly-role-checklist.md
  export-and-screenshot-policy.md
  sql-gui-template.md
  redis-template.md
  search-console-template.md
  mq-console-template.md

模板只能给“怎么申请和怎么验证”，不能给真实密码、私钥、个人 token、生产连接串或可直接写入的管理员账号。

12 数据客户端与控制台

从访问对象选择第一把工具

一次可信的数据访问闭环

团队治理原则

客户端落地最容易失守的地方

GUI 只读不是权限边界

导出文件会变成新的数据源

控制台通常能写，不只是看

历史记录是二次泄漏面

团队连接模板建议