一、背景与目标在微服务架构中网关作为流量入口需要具备基础的防护能力。本文介绍一种基于 Redis Lua 脚本的分布式 IP 限流方案在网关层实现每个 IP 每秒最多 N 次请求的限制防止恶意刷接口、暴力破解等行为。核心目标目标说明分布式限流网关多节点共享计数精确全局限流高性能单次 Redis 调用完成所有操作原子性Lua 脚本保证无竞态条件降级保护Redis 异常时自动放行不影响业务可观测日志记录真实计数反映攻击猛烈程度二、整体架构┌─────────────┐ │ 客户端 │ │ IP: 1.2.3.4│ └──────┬──────┘ │ ▼ ┌─────────────────────────────────────────────────────────────┐ │ Spring Cloud Gateway │ │ │ │ ┌──────────────────────────────────────────────────────┐ │ │ │ IpRateLimitGlobalFilter │ │ │ │ ① 提取真实 IPX-Forwarded-For 优先 │ │ │ │ ② 构造 Key: rate_limit:ip:{IP}:{秒时间戳} │ │ │ │ ③ 执行 Redis Lua 脚本原子 INCR EXPIRE │ │ │ │ ④ 判断: count limit ? 429 : 放行 │ │ │ └──────────────────────────────────────────────────────┘ │ └─────────────────────────────────────────────────────────────┘ │ ▼ ┌─────────────────────────────────────────────────────────────┐ │ Redis │ │ │ │ Key: rate_limit:ip:1.2.3.4:1734567890 │ │ Value: 3 (当前秒内该 IP 已请求 3 次) │ │ TTL: 1秒 │ └─────────────────────────────────────────────────────────────┘三、核心实现3.1 限流配置application.ymlrate-limit:ip:enabled:truelimit:30# 每秒最多允许 30 次请求3.2 核心代码配置类ComponentConfigurationProperties(prefixrate-limit.ip)publicclassIpRateLimitProperties{privatebooleanenabledtrue;privateintlimit30;// getter / setter}Lua 脚本核心localkeyKEYS[1]localttltonumber(ARGV[2])-- 原子性自增localcurrentredis.call(INCR,key)-- 首次访问设置过期时间ifcurrent1thenredis.call(EXPIRE,key,ttl)end-- 返回真实计数returncurrent限流过滤器ComponentpublicclassIpRateLimitGlobalFilterimplementsGlobalFilter,Ordered{privatestaticfinalintWINDOW_SECONDS1;privatestaticfinalStringLUA_SCRIPTlocal key KEYS[1]\nlocal ttl tonumber(ARGV[2])\nlocal current redis.call(INCR, key)\nif current 1 then\n redis.call(EXPIRE, key, ttl)\nend\nreturn current;privatefinalDefaultRedisScriptLonglimitScriptnewDefaultRedisScript(LUA_SCRIPT,Long.class);OverridepublicMonoVoidfilter(ServerWebExchangeexchange,GatewayFilterChainchain){if(!rateLimitProperties.isEnabled()){returnchain.filter(exchange);}StringipgetRealIp(exchange.getRequest());intlimitrateLimitProperties.getLimit();Stringkeyrate_limit:ip:ip:Instant.now().getEpochSecond();returnMono.from(redisTemplate.execute(limitScript,Collections.singletonList(key),String.valueOf(limit),String.valueOf(WINDOW_SECONDS))).flatMap(currentCount-{if(currentCount!nullcurrentCountlimit){log.warn(IP限流触发 - IP: {}, 计数: {}, 阈值: {}/s,ip,currentCount,limit);returnbuildTooManyRequestsResponse(exchange);}returnchain.filter(exchange);}).onErrorResume(e-{log.error(Redis异常降级放行 - IP: {},ip,e);returnchain.filter(exchange);});}OverridepublicintgetOrder(){returnOrdered.HIGHEST_PRECEDENCE;// 最高优先级}}四、为什么用 Lua 脚本方式原子性Redis 调用次数并发安全Java 两步操作INCR EXPIRE❌2 次有竞态Redis 事务MULTI EXEC⚠️2 次只保证顺序不保证原子Lua 脚本✅1 次✅ 单线程原子执行关键点Redis 执行 Lua 脚本时整个脚本是一个原子操作不会被其他命令打断。五、关键设计决策设计点选择原因限流维度按 IP最常见的防刷维度区分不同客户端窗口算法固定窗口1秒实现最简单性能最高防刷够用存储引擎Redis网关多节点共享计数保证一致性Key 设计rate_limit:ip:{IP}:{秒时间戳}自然分片自动过期无需手动清理返回值真实计数日志可观测攻击严重程度方便调优降级策略Redis 异常时放行限流是辅助功能不影响核心业务六、压测验证测试配置rate-limit:ip:enabled:truelimit:30JMeter 测试结果线程数Ramp-Up预期放行实际放行结论500s3030✅ 精准300s3030✅ 精准101s~8跨窗口8✅ 合理运行日志DEBUG IP限流检查 - IP: 127.0.0.1, Key: rate_limit:ip:127.0.0.1:1734567890, Limit: 30/s WARN IP限流触发 - IP: 127.0.0.1, 当前计数: 31, 阈值: 30/s WARN IP限流触发 - IP: 127.0.0.1, 当前计数: 45, 阈值: 30/s七、注意事项7.1 Nginx 需透传真实 IPproxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Real-IP $remote_addr;7.2 Redis 连接池配置spring:redis:host:${REDIS_HOST}port:6379timeout:2000mslettuce:pool:max-active:20max-idle:10min-idle:57.3 限流阈值调优场景建议阈值说明普通 API30-50/s覆盖正常用户浏览行为登录/注册接口3-5/s防暴力破解批量查询接口50-100/s列表加载等场景八、方案优缺点✅ 优点极简高效一个 Filter 一个 Lua 脚本搞定分布式支持Redis 共享计数网关集群一致原子性保障Lua 脚本保证无竞态降级保护Redis 异常不影响业务可观测性强日志记录真实计数⚠️ 局限固定窗口边界问题1 秒末 2 秒初允许 2 倍流量防刷场景可接受依赖 Redis需要 Redis 高可用保障单维度限流仅按 IP 限流如需多维度需扩展九、总结本文介绍了一种生产级分布式 IP 限流方案核心思想是在网关层用 Redis Lua 做原子计数每个 IP 每秒独立计数超过阈值返回 429。
