SpringBoot+Redis+Lua防止IP重复防刷攻击

SpringBoot+Redis+Lua防止IP重复防刷攻击

分析

黑客或者一些恶意的用户为了攻击网站或者APP，会通过并发用肉机并发或者死循环请求接口，从而导致系统出现宕机。

• 针对新增数据的接口，会出现大量的重复数据，甚至垃圾数据将数据库和CPU或者内存磁盘耗尽，直到数据库撑爆为止。
• 针对查询的接口，一般是重点攻击慢查询，比如一个SQL是2s。只要黑客一致攻击，就必然造成系统被拖垮，数据库查询全部被阻塞，连接一直得不到释放造成数据库无法访问。

具体实现

需求：在10秒内，同一IP 127.0.0.1 地址只允许访问30次。

最终效果：

 Long execute = this.stringRedisTemplate.execute(defaultRedisScript, keyList, "30", "10");

分析：keylist = 127.0.0.1 expire 30 incr

• 分析1：用户ip地址127.0.0.1 访问一次 incr
• 分析2：用户ip地址127.0.0.1 访问一次 incr
• 分析3：用户ip地址127.0.0.1 访问一次 incr
• 分析4：用户ip地址127.0.0.1 访问一次 incr
• 分析10：用户ip地址127.0.0.1 访问一次 incr

判断当前的次数是否以及达到了10次，如果达到了。就时间当前时间是否已经大于30秒。如果没有大于就不允许访问，否则开始设置过期

新增iplimit.lua文件

-- 为某个接口的请求IP设置计数器，比如：127.0.0.1请求课程接口
-- KEYS[1] = 127.0.0.1 也就是用户的IP
-- ARGV[1] = 过期时间 30m
-- ARGV[2] = 限制的次数
local limitCou