Spring Boot 怎么实现接口防刷机制

为什么会出现接口被刷？

接口被刷指的是同一接口被频繁调用，可能是由于以下原因导致：

• 恶意攻击：攻击者利用自动化脚本或工具对接口进行大量请求，以消耗系统资源、拖慢系统响应速度或达到其他恶意目的。

• 误操作或程序错误：某些情况下，程序错误或误操作可能导致接口被重复调用，例如循环调用或者定时任务配置错误。

Redis 实现接口防刷

Redis是一种高性能的键值存储系统，常用于缓存和分布式锁等场景。利用Redis可以有效地实现接口防刷功能：

• 计数器：利用Redis的计数器功能，每次接口被调用时增加计数器的值，设定一个时间窗口内的最大调用次数，超过该次数则拒绝请求。

• 分布式锁：利用Redis的分布式锁功能，确保同一时间只有一个请求能够增加计数器的值，防止并发问题导致计数器失效。

 

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.data.redis.core.RedisTemplate;
import org.springframework.stereotype.Component;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.util.concurrent.TimeUnit;

@Component
public class RateLimitInterceptor extends HandlerInterceptorAdapter {

    @Autowired
    private RedisTemplate<String, String> redisTemplate;

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String ipAddress = request.getRemoteAddr();
        String key = "rate_limit:" + ipAddress;
        long count = redisTemplate.opsForValue().increment(key, 1);
        if (count == 1) {
            redisTemplate.expire(key, 1, TimeUnit.MINUTES); // 设置过期时间，防止数据永久存储
        }
        if (count > 100) { // 设置阈值为每分钟最多100次请求
            response.setStatus(HttpStatus.TOO_MANY_REQUESTS.value());
            response.getWriter().write("请求过于频繁，请稍后重试");
            return false;
        }
        return true;
    }
}

 

拦截器实现接口防刷

在Spring Boot中，可以通过编写拦截器来实现接口防刷的功能：

• 编写拦截器：创建一个实现HandlerInterceptor接口的拦截器类，重写preHandle方法，在该方法中进行接口调用次数的检查，如果超过阈值则拦截请求。

• 配置拦截器：在Spring Boot的配置类中通过addInterceptor方法将拦截器注册到拦截器链中，配置拦截器的拦截路径和排除路径。

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {

    @Autowired
    private RateLimitInterceptor rateLimitInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(rateLimitInterceptor)
                .addPathPatterns("/**") // 对所有请求进行拦截
                .excludePathPatterns("/exclude/**"); // 排除路径
    }
}

 使用拦截器实现接口防刷

import org.springframework.stereotype.Component;
import org.springframework.web.servlet.HandlerInterceptor;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

@Component
public class RateLimitInterceptor implements HandlerInterceptor {

    private static final int MAX_REQUESTS_PER_MINUTE = 100;
    private static final String RATE_LIMIT_KEY_PREFIX = "rate_limit:";
    private final RedisTemplate<String, String> redisTemplate;

    public RateLimitInterceptor(RedisTemplate<String, String> redisTemplate) {
        this.redisTemplate = redisTemplate;
    }

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String ipAddress = request.getRemoteAddr();
        String key = RATE_LIMIT_KEY_PREFIX + ipAddress;
        Long count = redisTemplate.opsForValue().increment(key, 1);
        if (count == 1) {
            redisTemplate.expire(key, 1, TimeUnit.MINUTES);
        }
        if (count > MAX_REQUESTS_PER_MINUTE) {
            response.setStatus(HttpStatus.TOO_MANY_REQUESTS.value());
            response.getWriter().write("请求过于频繁，请稍后重试");
            return false;
        }
        return true;
    }
}

配置拦截器

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {

    private final RateLimitInterceptor rateLimitInterceptor;

    @Autowired
    public WebMvcConfig(RateLimitInterceptor rateLimitInterceptor) {
        this.rateLimitInterceptor = rateLimitInterceptor;
    }

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(rateLimitInterceptor)
                .addPathPatterns("/**")
                .excludePathPatterns("/exclude/**"); // 可以排除一些不需要拦截的路径
    }
}

最后总结

接口防刷是保障系统安全和稳定性的重要手段，利用Redis和拦截器可以很好地实现接口防刷功能。通过合理设置阈值和时间窗口，以及监控系统日志，可以及时发现异常情况并采取相应措施，确保系统正常运行。