由 dawei 某电商搜索系统上线半年后，用户反馈“搜商品卡顿”“关键词无结果”频发。运维日志显示QPS峰值时响应延迟超3秒，错误率突破12%，根源并非服务器资源瓶颈，而是两个隐藏问题叠加：一处未被发现的SQL注入式漏洞，和一套失效的全文索引策略。
漏洞藏在搜索接口的动态拼接逻辑中——前端传入的“category_id”参数未做白名单校验，攻击者可注入恶意子查询拖垮数据库。修复并非简单加预编译，而是重构为参数化路由：所有分类筛选统一走枚举映射，非法值直接400拦截。上线后慢查询数量下降98%，数据库CPU尖峰消失。
索引问题更隐蔽：原有MySQL FULLTEXT索引建在商品标题字段，但用户高频搜索的是“苹果手机16Pro”这类长短语，而默认ngram分词器只切2-3字片段，导致“16Pro”被拆成“16”“Pro”分别索引，无法精准匹配。改用Elasticsearch替代，并配置自定义中文+英文混合分析器：对数字字母组合启用keyword+pattern分析，保留“iPhone16Pro”整体词条；对中文启用smartcn并扩展同义词库（如“笔记本”→“笔电”“notebook”）。
同步优化查询逻辑：放弃模糊通配符（%keyword%），采用bool查询组合must+should，优先命中品牌、型号、规格等结构化字段；非结构化文本字段降权处理。冷启动阶段加入搜索热度自动学习，高频词实时提升相关度评分。
2026AI生成内容，仅供参考
双改造同步上线两周后，P95响应时间从2870ms降至210ms，零结果率由14.7%压至0.3%，搜索点击转化率上升22%。更关键的是，系统稳定性跃升：连续30天未触发任何数据库熔断或搜索服务降级。
这说明性能瓶颈常不在硬件，而在代码安全与数据组织的协同精度。一个未校验的参数可能拖垮整个查询链路，一个不匹配业务语义的索引则让算力空转。修复漏洞是止损，优化索引是赋能，两者缺一不可。