网站接口被刷限流防御思路实战

一、接口被刷的危害与识别

恶意刷接口会导致服务器资源耗尽、正常用户无法访问、业务数据污染等问题。可通过以下特征识别攻击行为：

• 同一IP短时间内高频请求（如>100次/秒）
• 请求参数规律性变化（如顺序ID遍历）
• 非常规时间段的流量激增（如凌晨突发流量）

二、核心限流算法实现

1. 令牌桶算法（Token Bucket）

public class TokenBucket {
    private final int capacity;  // 桶容量
    private double tokens;      // 当前令牌数
    private long lastTime;     // 上次补充时间
    
    public TokenBucket(int capacity, int refillRate) {
        this.capacity = capacity;
        this.tokens = capacity;
        this.lastTime = System.currentTimeMillis();
    }
    
    public synchronized boolean tryConsume() {
        refill();
        if (tokens >= 1) {
            tokens -= 1;
            return true;
        }
        return false;
    }
    
    private void refill() {
        long now = System.currentTimeMillis();
        double elapsedSec = (now - lastTime) / 1000.0;
        tokens = Math.min(capacity, tokens + elapsedSec  refillRate);
        lastTime = now;
    }
}

2. 漏桶算法（Leaky Bucket）

import time

class LeakyBucket:
    def __init__(self, capacity, leak_rate):
        self.capacity = capacity   桶容量
        self.leak_rate = leak_rate   漏出速率(请求/秒)
        self.water = 0   当前水量
        self.last_time = time.time()
    
    def allow_request(self):
        now = time.time()
        elapsed = now - self.last_time
        self.water = max(0, self.water - elapsed  self.leak_rate)
        self.last_time = now
        
        if self.water < self.capacity:
            self.water += 1
            return True
        return False

三、多层级防御实战方案

1. Nginx层防护

在nginx.conf中配置限流：

limit_req_zone $binary_remote_addr zone=api_limit:10m rate=100r/s;

server {
    location /api/ {
        limit_req zone=api_limit burst=50 nodelay;
        proxy_pass http://backend;
    }
}

2. 分布式环境方案

• Redis + Lua脚本：保证原子性操作
• Sentinel集群模式：避免单点故障
• 滑动窗口计数：更精确的时间段控制

3. 验证码与行为分析

对异常请求实施二次验证：

• 短时间内超过阈值触发图形验证码
• 分析用户鼠标轨迹和点击行为
• 设备指纹识别技术

四、监控与应急响应

五、进阶防护策略

1. 动态限流：根据系统负载自动调整阈值
2. 机器学习模型：识别异常流量模式
3. API指纹校验：验证请求合法性
4. 灰度发布：新接口先对小流量开放

通过组合上述策略，可构建从网络层到应用层的立体防御体系。建议定期进行压力测试，评估系统抗刷能力，并根据业务变化调整防护策略。