最近在基于 SpringBoot 做一个面向普通用户的系统，为了保证系统的稳定性，防止被恶意攻击，我想控制用户访问每个接口的频率。为了实现这个功能，可以设计一个 annotation，然后借助 AOP 在调用方法之前检查当前 ip 的访问频率，如果超过设定频率，直接返回错误信息。
常见的错误设计
在开始介绍具体实现之前，我先列举几种我在网上找到的几种常见错误设计。
1. 固定窗口
有人设计了一个在每分钟内只允许访问 1000 次的限流方案，如下图 01:00s-02:00s 之间只允许访问 1000 次，这种设计最大的问题在于，请求可能在 01:59s-02:00s 之间被请求 1000 次，02:00s-02:01s 之间被请求了 1000 次，这种情况下 01:59s-02:01s 间隔 0.02s 之间被请求 2000 次，很显然这种设计是错误的。
2. 缓存时间更新错误
我在研究这个问题的时候，发现网上有一种很常见的方式来进行限流，思路是基于 redis，每次有用户的 request 进来，就会去以用户的 ip 和 request 的 url 为 key 去判断访问次数是否超标，如果有就返回错误，否则就把 redis 中的 key 对应的 value 加 1，并重新设置 key 的过期时间为用户指定的访问周期。核心代码如下：
// core logicint limit = accessLimit.limit();long sec = accessLimit.sec();String key = IPUtils.getIpAddr(request) + request.getRequestURI();Integer maxLimit =null;Object value =redisService.get(key);if(value!=null && !value.equals("")) { maxLimit = Integer.valueOf(String.valueOf(value));}if (maxLimit == null) { redisService.set(key, "1", sec);} else if (maxLimit < limit) { Integer i = maxLimit+1; redisService.set(key, i.toString(), sec);} else { throw new BusinessException(500,"请求太频繁!");}
// redis related public boolean set(final String key, Object value, Long expireTime) { boolean result = false; try { ValueOperations<Serializable, Object> operations = redisTemplate.opsForValue(); operations.set(key, value); redisTemplate.expire(key, expireTime, TimeUnit.SECONDS); result = true; } catch (Exception e) { e.printStackTrace(); } return result; }
复制代码
这里面很大的问题，就是每次都会更新 key 的缓存过期时间，这样相当于变相延长了每个计数周期， 可能我们想控制用户一分钟内只能访问 5 次，但是如果用户在前一分钟只访问了三次，后一分钟访问了三次，在上面的实现里面，很可能在第 6 次访问的时候返回错误，但这样是有问题的，因为用户确实在两分钟内都没有超过对应的访问频率阈值。
关于 key 的刷新这块，可以参看 redis 官方文档，每次 refreh 都会更新 key 的过期时间。
基于滑动窗口的正确设计
指定时间 T 内，只允许发生 N 次。我们可以将这个指定时间 T，看成一个滑动时间窗口（定宽）。我们采用 Redis 的 zset 基本数据类型的 score 来圈出这个滑动时间窗口。在实际操作 zset 的过程中，我们只需要保留在这个滑动时间窗口以内的数据，其他的数据不处理即可。
比如在上面的例子里面，假设用户的要求是 60s 内访问频率控制为 3 次。那么我永远只会统计当前时间往前倒数 60s 之内的访问次数，随着时间的推移，整个窗口会不断向前移动，窗口外的请求不会计算在内，保证了永远只统计当前 60s 内的 request。
为什么选择 Redis zset ？
为了统计固定时间区间内的访问频率，如果是单机程序，可能采用 concurrentHashMap 就够了，但是如果是分布式的程序，我们需要引入相应的分布式组件来进行计数统计，而 Redis zset 刚好能够满足我们的需求。
Redis zset（有序集合）中的成员是有序排列的，它和 set 集合的相同之处在于，集合中的每一个成员都是字符串类型，并且不允许重复；而它们最大区别是，有序集合是有序的，set 是无序的，这是因为有序集合中每个成员都会关联一个 double（双精度浮点数）类型的 score (分数值)，Redis 正是通过 score 实现了对集合成员的排序。
Redis 使用以下命令创建一个有序集合：
ZADD key score member [score member ...]
复制代码
这里面有三个重要参数，
当 key 不存在时，将会创建一个新的有序集合，并把分数/成员（score/member）添加到有序集合中；当 key 存在时，但 key 并非 zset 类型，此时就不能完成添加成员的操作，同时会返回一个错误提示。
在我们这个场景里面，key 就是用户ip+request uri，score 直接用当前时间的毫秒数表示，至于 member 不重要，可以也采用和 score 一样的数值即可。
限流过程是怎么样的？
整个流程如下：
首先用户的请求进来，将用户 ip 和 uri 组成 key，timestamp 为 value，放入 zset
更新当前 key 的缓存过期时间，这一步主要是为了定期清理掉冷数据，和上面我提到的常见错误设计 2 中的意义不同。
删除窗口之外的数据记录。
统计当前窗口中的总记录数。
如果记录数大于阈值，则直接返回错误，否则正常处理用户请求。
基于 SpringBoot 和 AOP 的限流
这一部分主要介绍具体的实现逻辑。
定义注解和处理逻辑
首先是定义一个注解，方便后续对不同接口使用不同的限制频率。
/** * 接口访问频率注解，默认一分钟只能访问5次 */ @Documented @Target(ElementType.METHOD) @Retention(RetentionPolicy.RUNTIME) public @interface RequestLimit { // 限制时间 单位：秒(默认值：一分钟） long period() default 60; // 允许请求的次数(默认值：5次） long count() default 5; }
复制代码
在实现逻辑这块，我们定义一个切面函数，拦截用户的 request，具体实现流程和上面介绍的限流流程一致，主要涉及到 redis zset 的操作。
@Aspect@Component@Log4j2public class RequestLimitAspect {
@Autowired RedisTemplate redisTemplate;
// 切点 @Pointcut("@annotation(requestLimit)") public void controllerAspect(RequestLimit requestLimit) {}
@Around("controllerAspect(requestLimit)") public Object doAround(ProceedingJoinPoint joinPoint, RequestLimit requestLimit) throws Throwable { // get parameter from annotation long period = requestLimit.period(); long limitCount = requestLimit.count();
// request info String ip = RequestUtil.getClientIpAddress(); String uri = RequestUtil.getRequestUri(); String key = "req_limit_".concat(uri).concat(ip);
ZSetOperations zSetOperations = redisTemplate.opsForZSet();
// add current timestamp long currentMs = System.currentTimeMillis(); zSetOperations.add(key, currentMs, currentMs);
// set the expiration time for the code user redisTemplate.expire(key, period, TimeUnit.SECONDS);
// remove the value that out of current window zSetOperations.removeRangeByScore(key, 0, currentMs - period * 1000);
// check all available count Long count = zSetOperations.zCard(key);
if (count > limitCount) { log.error("接口拦截：{} 请求超过限制频率【{}次/{}s】,IP为{}", uri, limitCount, period, ip); throw new AuroraRuntimeException(ResponseCode.TOO_FREQUENT_VISIT); }
// execute the user request return joinPoint.proceed(); }
}
复制代码
使用注解进行限流控制
这里我定义了一个接口类来做测试，使用上面的 annotation 来完成限流，每分钟允许用户访问 3 次。
@Log4j2 @RestController @RequestMapping("/user") public class UserController {
@GetMapping("/test") @RequestLimit(count = 3) public GenericResponse<String> testRequestLimit() { log.info("current time: " + new Date()); return new GenericResponse<>(ResponseCode.SUCCESS); } }
复制代码
我接着在不同机器上，访问该接口，可以看到不同机器的限流是隔离的，并且每台机器在周期之内只能访问三次，超过后，需要等待一定时间才能继续访问，达到了我们预期的效果。
2023-05-21 11:23:15.733 INFO 99636 --- [nio-8080-exec-1] c.v.c.a.api.controller.UserController : current time: Sun May 21 11:23:15 CST 20232023-05-21 11:23:21.848 INFO 99636 --- [nio-8080-exec-3] c.v.c.a.api.controller.UserController : current time: Sun May 21 11:23:21 CST 20232023-05-21 11:23:23.044 INFO 99636 --- [nio-8080-exec-4] c.v.c.a.api.controller.UserController : current time: Sun May 21 11:23:23 CST 20232023-05-21 11:23:25.920 ERROR 99636 --- [nio-8080-exec-5] c.v.c.a.annotation.RequestLimitAspect : 接口拦截：/user/test 请求超过限制频率【3次/60s】,IP为0:0:0:0:0:0:0:12023-05-21 11:23:28.761 ERROR 99636 --- [nio-8080-exec-6] c.v.c.a.annotation.RequestLimitAspect : 接口拦截：/user/test 请求超过限制频率【3次/60s】,IP为0:0:0:0:0:0:0:12023-05-21 11:24:12.207 INFO 99636 --- [io-8080-exec-10] c.v.c.a.api.controller.UserController : current time: Sun May 21 11:24:12 CST 20232023-05-21 11:24:19.100 INFO 99636 --- [nio-8080-exec-2] c.v.c.a.api.controller.UserController : current time: Sun May 21 11:24:19 CST 20232023-05-21 11:24:20.117 INFO 99636 --- [nio-8080-exec-1] c.v.c.a.api.controller.UserController : current time: Sun May 21 11:24:20 CST 20232023-05-21 11:24:21.146 ERROR 99636 --- [nio-8080-exec-3] c.v.c.a.annotation.RequestLimitAspect : 接口拦截：/user/test 请求超过限制频率【3次/60s】,IP为192.168.31.1142023-05-21 11:24:26.779 ERROR 99636 --- [nio-8080-exec-4] c.v.c.a.annotation.RequestLimitAspect : 接口拦截：/user/test 请求超过限制频率【3次/60s】,IP为192.168.31.1142023-05-21 11:24:29.344 ERROR 99636 --- [nio-8080-exec-5] c.v.c.a.annotation.RequestLimitAspect : 接口拦截：/user/test 请求超过限制频率【3次/60s】,IP为192.168.31.114
复制代码
作者：码老思
链接：https://juejin.cn/post/7235484890018562106
来源：稀土掘金
评论