SpringBoot DDoS防护：限流与验证全面指南

一、DDoS防护基础概念

1.1 什么是DDoS攻击

分布式拒绝服务(Distributed Denial of Service, DDoS)攻击是一种通过大量合法或伪造的请求占用目标服务器资源，使其无法正常提供服务的网络攻击方式。DDoS攻击通常具有以下特征：

特征	说明	示例
分布式来源	攻击来自大量不同IP地址	僵尸网络控制的数千台设备同时发起请求
流量洪泛	短时间内产生远超正常水平的请求量	每秒数万次的API调用请求
资源耗尽	目标是耗尽服务器资源(带宽、CPU、内存等)	数据库连接池被占满，正常用户无法连接
伪装性	攻击流量往往模仿正常业务请求	模拟正常用户浏览行为的HTTP请求

在SpringBoot应用中，常见的DDoS攻击类型包括：

1. HTTP Flood：针对Web层的HTTP请求洪泛
2. Slowloris：保持大量慢速HTTP连接耗尽服务器连接池
3. CC攻击：针对计算密集型接口的重复请求
4. API滥用：恶意爬虫或自动化工具高频调用API接口

1.2 为什么需要防护DDoS

对于SpringBoot应用来说，缺乏DDoS防护会导致：

1. 服务不可用：正常用户无法访问服务，影响业务连续性
2. 资源成本激增：云环境下自动扩容可能导致巨额账单
3. 数据泄露风险：攻击可能掩盖其他安全入侵行为
4. 品牌声誉损害：服务不可用影响用户信任

// 模拟一个未受保护的Controller
@RestController
public class VulnerableController {
   
    
    @GetMapping("/api/data")
    public String getData() {
   
        // 这是一个计算密集型操作
        String result = expensiveCalculation();
        return result;
    }
    
    private String expensiveCalculation() {
   
        // 模拟耗时操作
        try {
   
            Thread.sleep(100);
        } catch (InterruptedException e) {
   
            Thread.currentThread().interrupt();
        }
        return "Expensive Result";
    }
}

上述代码在没有防护的情况下，攻击者只需发起大量并发请求到/api/data接口，就能快速耗尽服务器资源。

1.3 防护的基本原则

有效的DDoS防护应遵循以下原则：

1. 分层防御：在网络层、应用层等多层次部署防护措施
2. 纵深防御：不依赖单一防护机制，设置多道防线
3. 最小权限：只允许必要的访问，默认拒绝其他所有请求
4. 弹性设计：系统在承受攻击时能保持基本功能
5. 可观测性：具备完善的监控和告警机制

二、SpringBoot限流防护机制

2.1 令牌桶算法实现

令牌桶算法是一种常用的限流算法，其工作原理如下：

1. 令牌以固定速率添加到桶中（如每秒10个）
2. 每个请求需要获取一个令牌才能被处理
3. 当桶为空时，新请求将被限流

SpringBoot中可以使用Guava的RateLimiter实现：

import com.google.common.util.concurrent.RateLimiter;

@Service
public class RateLimitService {
   
    // 每秒允许10个请求
    private final RateLimiter rateLimiter = RateLimiter.create(10.0); 
    
    public boolean tryAcquire() {
   
        return rateLimiter.tryAcquire();
    }
    
    @RestController
    public class ProtectedController {
   
        @Autowired
        private RateLimitService rateLimitService;
        
        @GetMapping("/api/protected")
        public ResponseEntity<String> getProtectedData() {
   
            if (!rateLimitService.tryAcquire()) {
   
                return ResponseEntity.status(429)
                    .header("X-RateLimit-RetryAfter", "1")
                    .body("Too many requests");
            }
            
            // 正常业务逻辑
            return ResponseEntity.ok("Protected Data");
        }
    }
}

参数说明：

参数	类型	说明	推荐值
permitsPerSecond	double	每秒允许的请求数	根据业务负载调整
warmupPeriod	long	预热时间(毫秒)	高并发系统建议5000
tryAcquireTimeout	long	获取令牌超时时间	0表示立即返回

2.2 滑动窗口算法实现

滑动窗口算法比固定窗口更精确，可以避免临界问题。Redis+Lua是实现分布式限流的理想方案：

-- ratelimit.lua
local key = KEYS[1] -- 限流键
local limit = tonumber(ARGV[1]) -- 限流大小
local window = tonumber(ARGV[2]) -- 时间窗口(秒)
local now = tonumber(ARGV[3]) -- 当前时间戳

local clearBefore = now - window
redis.call('ZREMRANGEBYSCORE', key, 0, clearBefore)

local currentCount = redis.call('ZCARD', key)
if currentCount >= limit then
    return 0
else
    redis.call('ZADD', key, now, now)
    redis.call('EXPIRE', key, window)
    return 1
end

Java调用代码：

import org.springframework.data.redis.core.RedisTemplate;
import org.springframework.data.redis.core.script.RedisScript;

@Service
public class RedisRateLimiter {
   
    
    private final RedisTemplate<String, Object> redisTemplate;
    private final RedisScript<Long> rateLimitScript;
    
    public RedisRateLimiter(RedisTemplate<String, Object> redisTemplate) {
   
        this.redisTemplate = redisTemplate;
        this.rateLimitScript = RedisScript.of(
            new ClassPathResource("scripts/ratelimit.lua"), 
            Long.class
        );
    }
    
    public boolean allowRequest(String key, int limit, int window) {
   
        Long result = redisTemplate.execute(
            rateLimitScript,
            Collections.singletonList(key),
            limit,
            window,
            System.currentTimeMillis() / 1000
        );
        return result != null && result == 1;
    }
}

2.3 分布式限流方案

在微服务架构中，需要统一的限流服务。Spring Cloud Gateway集成Redis限流示例：

# application.yml
spring:
  cloud:
    gateway:
      routes:
        - id: user-service
          uri: lb://user-service
          predicates:
            - Path=/api/users/**
          filters:
            - name: RequestRateLimiter
              args:
                redis-rate-limiter.replenishRate: 10
                redis-rate-limiter.burstCapacity: 20
                redis-rate-limiter.requestedTokens: 1

自定义Key解析器：

@Bean
KeyResolver userKeyResolver() {
   
    return exchange -> {
   
        // 按用户限流
        String userId = exchange.getRequest()
            .getHeaders()
            .getFirst("X-User-Id");
        return Mono.just(userId != null ? userId : "anonymous");
    };
}

三、验证机制防护

3.1 验证码防护

验证码是区分人类用户和机器流量的有效手段。SpringBoot集成Google reCAPTCHA示例：

@RestController
public class CaptchaController {
   
    
    @Value("${recaptcha.secret}")
    private String recaptchaSecret;
    
    @PostMapping("/api/register")
    public ResponseEntity<?> registerUser(
        @RequestBody RegistrationRequest request,
        @RequestHeader("g-recaptcha-response") String captchaResponse) {
   
        
        // 验证reCAPTCHA
        boolean valid = validateCaptcha(captchaResponse);
        if (!valid) {
   
            return ResponseEntity.badRequest().body("Invalid captcha");