拦截、限流，针对场景详细信息(一)

       以下是一个基于Java + Spring Boot + Redis 的完整限流实现案例，针对同一接口前缀（如  /one/ ）的IP访问频率控制：

场景：用户不用登录即可访问接口，网站会有被攻击的风险

URL：one/two/three

         one/three/four

解决办法：

1. 核心代码实现

1.1 Redis 配置

@Configuration

public class RedisConfigNew {

    @Bean

    public RedisTemplate<String, Object> redisTemplate(RedisConnectionFactory factory) {

        RedisTemplate<String, Object> template = new RedisTemplate<>();

        template.setConnectionFactory(factory);

        template.setKeySerializer(new StringRedisSerializer());

        template.setValueSerializer(new GenericJackson2JsonRedisSerializer());

        return template;

    }

 

    @Bean

    public DefaultRedisScript<Long> rateLimitScript() {

        DefaultRedisScript<Long> script = new DefaultRedisScript<>();

        script.setScriptText(RATE_LIMIT_SCRIPT); // 加载Lua脚本

        script.setResultType(Long.class);

        return script;

    }

 

    private static final String RATE_LIMIT_SCRIPT = 

        "local key = KEYS[1]\n" +

        "local limit = tonumber(ARGV[1])\n" +

        "local expire = tonumber(ARGV[2])\n" +

        "local current = redis.call('INCR', key)\n" +

        "if current == 1 then\n" +

        " redis.call('EXPIRE', key, expire)\n" +

        "end\n" +

        "return current > limit and 1 or 0";

}

1.2 限流拦截器

@Component

public class RateLimitInterceptor implements HandlerInterceptor {

 

    @Autowired

    private RedisTemplate<String, Object> redisTemplate;

 

    @Autowired

    private DefaultRedisScript<Long> rateLimitScript;

 

    // 配置参数：每分钟最多60次请求，超时时间60秒

    private static final int DEFAULT_LIMIT = 60;

    private static final int DEFAULT_TIMEOUT = 60;

 

    @Override

    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws IOException {

        String ip = getClientIp(request);

        String uriPrefix = getUriPrefix(request); // 获取接口前缀，如 "bank"

 

        String key = "rate_limit:" + ip + ":" + uriPrefix;

 

        // 执行Lua脚本

        Long result = redisTemplate.execute(

            rateLimitScript, 

            Collections.singletonList(key), 

            DEFAULT_LIMIT, DEFAULT_TIMEOUT

        );

 

        if (result != null && result == 1) { // 超过限制

            response.setStatus(HttpStatus.TOO_MANY_REQUESTS.value());

            response.getWriter().write("Too many requests. Try again later.");

            return false;

        }

        return true;

    }

 

    private String getClientIp(HttpServletRequest request) {

        String ip = request.getHeader("X-Forwarded-For");

        if (ip == null || ip.isEmpty()) {

            ip = request.getRemoteAddr();

        } else {

            // 处理多个代理的情况，取第一个真实IP

            ip = ip.split(",")[0].trim();

        }

        return ip;

    }

 

    private String getUriPrefix(HttpServletRequest request) {

        String path = request.getRequestURI();

        return path.split("/")[1]; // 假设路径为 /one/xxx

    }

}

1.3 注册拦截器

@Configuration

public class WebMvcConfig implements WebMvcConfigurer {

 

    @Autowired

    private RateLimitInterceptor rateLimitInterceptor;

 

    @Override

    public void addInterceptors(InterceptorRegistry registry) {

        registry.addInterceptor(rateLimitInterceptor)

                .addPathPatterns("/one/**") // 拦截所有/one/开头的接口

                .excludePathPatterns("/one/login"); // 排除登录接口（如果需要）

    }

}

2. 关键点说明

2.1为什么用Lua脚本？

• 原子性操作：INCR和EXPIRE必须在一个原子操作中完成，避免竞态条件。
• 减少网络开销：Lua脚本在Redis服务器端执行，避免多次网络往返。

2.2如何应对突发流量？

• 滑动窗口算法（可选升级）：如果需要更精确的流量控制（例如每分钟允许100次，但允许前10秒集中访问），可以用 Redis Sorted Set 记录每次请求的时间戳，定期清理过期数据。

2.3如何扩展？

• 动态调整限流阈值：将DEFAULT_LIMIT和DEFAULT_TIMEOUT参数存储在数据库或配置中心，支持动态更新。
• 分布式限流：如果服务有多个实例，Redis 天然支持全局限流，无需额外配置。

3.注意事项

• Redis连接池配置：确保连接池足够大，避免高并发下连接耗尽。
• 限流粒度：当前案例是IP+接口前缀的组合限流，也可调整为用户ID+接口限流。
• 异常处理：捕获Redis连接异常，避免服务雪崩（可用降级策略）。
• 黑名单机制：对于多次触发限流的IP，可加入黑名单（用Redis的SETNX实现）。