1. 项目背景与核心挑战某产业园区数字化平台近期频繁遭遇API接口恶意刷取攻击主要表现为同一IP在极短时间内发起大量重复请求攻击者使用脚本模拟正常业务流量部分热点接口被集中攻击导致服务降级我们采用Spring Boot Redis Sentinel技术栈构建了三重防护体系Redis滑动窗口计数器实现基础频率控制Sentinel热点参数限流保护关键业务接口动态规则引擎实现实时策略调整这套组合方案上线后成功拦截了99%的恶意请求核心业务接口的可用性从82%提升至99.9%。下面详细拆解实现方案。2. 技术方案设计2.1 整体架构设计防护系统采用分层防御策略客户端请求 → API网关层 → 业务服务层 ↑ ↑ [限流防护] [熔断降级]关键组件分工Spring Boot作为基础框架提供RESTful接口Redis存储滑动窗口计数数据Sentinel实现热点参数限流和系统保护2.2 Redis滑动窗口实现2.2.1 算法原理滑动窗口算法相比固定窗口能更精确控制单位时间请求量。我们采用60秒窗口分成6个格子每格10秒数据结构设计// Redis key设计 String key rate_limit: apiPath : clientIp; // Lua脚本实现原子操作 local current redis.call(incr, KEYS[1]) if tonumber(current) 1 then redis.call(expire, KEYS[1], ARGV[1]) end return current2.2.2 参数调优经过压力测试确定的优化参数窗口大小60秒兼顾精度和性能子窗口数6个每10秒一个计数点最大请求数根据接口重要性设置100-500次/分钟注意在集群环境下需要使用Redisson的RRateLimiter或自行实现分布式锁2.3 Sentinel热点规则配置2.3.1 热点参数识别通过历史日志分析出需要特殊保护的参数// 示例根据商品ID限流 SentinelResource(value productDetail, blockHandler handleBlock) public Product getDetail(String productId) { //... }2.3.2 动态规则配置通过Nacos实现规则热更新[ { resource: productDetail, paramIdx: 0, count: 50, durationInSec: 1 } ]3. 核心实现细节3.1 滑动窗口计数器实现完整Java实现代码public boolean tryAcquire(String key, int limitCount, int windowSize) { long now System.currentTimeMillis(); long windowStart now - windowSize * 1000; // 使用Redis ZSET实现 String zkey rate:window: key; redisTemplate.opsForZSet().removeRangeByScore(zkey, 0, windowStart); long count redisTemplate.opsForZSet().count(zkey, windowStart, now); if (count limitCount) { redisTemplate.opsForZSet().add(zkey, UUID.randomUUID().toString(), now); return true; } return false; }3.2 Sentinel集成方案3.2.1 Spring Boot配置Configuration public class SentinelConfig { PostConstruct public void init() { // 注册通用降级处理器 WebCallbackManager.setUrlBlockHandler((req, resp, e) - { resp.setContentType(application/json); resp.getWriter().print({\code\:429,\msg\:\请求过于频繁\}); }); } }3.2.2 热点规则动态加载RestController RequestMapping(/sentinel) public class SentinelRuleController { Autowired private DynamicSentinelRuleService ruleService; PostMapping(/rule) public String updateRule(RequestBody FlowRule rule) { ruleService.publishRule(rule); return success; } }4. 性能优化与问题排查4.1 Redis性能优化实测数据对比优化措施QPS提升内存消耗原生incr12,000低Lua脚本8,500低ZSET方案5,200较高最终选择方案高频接口使用incrlua精确控制使用ZSET方案4.2 常见问题处理4.2.1 限流误判现象正常用户被拦截解决建立IP白名单机制实施用户分级限流策略添加验证码二次验证4.2.2 Redis内存增长现象Redis内存持续增长解决# 设置自动过期 redis-cli config set maxmemory-policy allkeys-lru redis-cli config set maxmemory 2gb5. 防护效果验证上线前后关键指标对比指标防护前防护后恶意请求拦截率23%99.2%API平均响应时间480ms210ms服务可用性82%99.94%Redis内存占用-1.2GB实际监控截图显示攻击时段系统负载保持平稳[正常流量] ~~~~~~~~~ [攻击时段] || (限流生效) [恢复后] ~~~~~~~~~6. 扩展优化方向智能风控结合机器学习识别异常模式设备指纹增强客户端识别能力动态密钥定期更换API访问凭证多级缓存减轻数据库压力这套方案经过三个月的生产验证在保证正常业务的前提下有效抵御了恶意请求。核心在于根据业务特点组合多种技术手段而非依赖单一防护机制。