基于Redis實(shí)現(xiàn)一個(gè)簡單的固定窗口限流器
大家好，我是漁夫子。
限流器是在大流量中保護(hù)服務(wù)資源的一種常用手段。限流器的實(shí)現(xiàn)有令牌桶方式、固定窗口限流器和滑動窗口限流器。本文介紹了基于Redis如何快速的實(shí)現(xiàn)固定窗口限流器。
最近在我們的項(xiàng)目中需要快速的實(shí)現(xiàn)一個(gè)流量限流器，而目前項(xiàng)目中已經(jīng)有在用Redis了。
固定窗口限流器：它是在固定的時(shí)間窗口（例如一分鐘）內(nèi)計(jì)算接收到的請求數(shù)量。一旦達(dá)到最大請求數(shù)量，額外的請求將被拒絕，直到下一個(gè)窗口開始。
要基于Redis實(shí)現(xiàn)固定窗口限流器非常簡單，如下lua代碼：
local current
current = redis.call("INCR", KEYS[1])
if tonumber(current) == 1 then
redis.call("EXPIRE", KEYS[1], 60)
end
return current每次運(yùn)行這個(gè)腳本時(shí)，它都會獲取一個(gè)鍵并將其值遞增1。如果是第一次遞增該鍵時(shí)，都會設(shè)置一個(gè)60秒的過期時(shí)間。它返回遞增后的當(dāng)前值。
該鍵在首次設(shè)置60秒后過期。一旦過期，它將在下一個(gè)請求時(shí)再次設(shè)置。
當(dāng)服務(wù)收到一個(gè)請求時(shí)，就可以調(diào)用該段代碼。如果腳本返回的值大于允許的值，則由于速率限制而中止該請求。如果返回的值不大于允許的值，則處理該請求。
const script = `
local current
current = redis.call("INCR", KEYS[1])
if tonumber(current) == 1 then
redis.call("EXPIRE", KEYS[1], 60)
end
return current
`
func isRateLimited(ctx context.Context, key string, limit int64) (bool, error) {
v, err := redisClient.Eval(ctx, script, []string{key}).Result()
if err != nil {
return false, err
}
n, _ := v.(int64)
return n > int64(limit), nil
}isRateLimited函數(shù)可以按如下方式使用：
func handleLogin(r *http.Request, w http.ResponseWriter) {
username := r.FormValue("username")
limited, _ := isRateLimited(context.TODO(), fmt.Sprintf("rateLimit:login:username:%s", username, 5))
if limited {
http.Error(w, "Too Many Attempts", http.StatusTooManyRequests)
return
}
// ...
}這樣就可以工作了。
請注意，固定窗口限流器雖然可以有效抵御持續(xù)攻擊，但可能會影響合法用戶的體驗(yàn)。
在上面的示例中，我們基于在登錄流程中使用的用戶名進(jìn)行速率限制。如果是基于其他指標(biāo)進(jìn)行限流（例如傳入請求的遠(yuǎn)程IP地址），那么該限流器是不起作用的。
