【Nginx】使用 Nginx+Lua 实现基于 IP 的访问频率限制

news2025/6/12 5:59:46

使用 Nginx+Lua 实现基于 IP 的访问频率限制

在高并发场景下，限制某个 IP 的访问频率是非常重要的，可以有效防止恶意攻击或错误配置导致的服务宕机。以下是一个详细的实现方案，使用 Nginx 和 Lua 脚本结合 Redis 来实现基于 IP 的访问频率限制。

1.环境准备

在开始之前，请确保已安装以下组件：

• Nginx：作为反向代理服务器。

• Lua 模块：需要在 Nginx 中编译或安装ngx_http_lua_module。

• Redis：作为数据存储，用于记录访问频率。

2.方案概述

我们将通过 Lua 脚本和 Redis 实现以下功能：

• 记录每个 IP 的访问频率。

• 设置阈值，当某个 IP 的访问次数超过此阈值时，将其加入黑名单。

• 每次请求时检查该 IP 是否在黑名单中。

3.Redis 数据结构

在 Redis 中，我们可以使用以下数据结构：

• 访问计数存储：ip:<client_ip>，值为该 IP 的请求次数。

• 黑名单存储：blocked_ip:<client_ip>，值为 1（表示被封禁）。

4.Lua 脚本示例

以下是一个完整的 Lua 脚本示例，用于实现访问频率限制和封禁逻辑：

local redis = require "resty.redis"
local red = redis:new()
red:set_timeout(1000)  -- 1秒超时

-- 获取客户端 IP
local client_ip = ngx.var.remote_addr
local max_requests = 100  -- 设置最大请求次数
local expire_time = 60    -- 设置过期时间为60秒
local block_time = 300    -- 设置封禁时间为300秒

-- 连接 Redis
local ok, err = red:connect("127.0.0.1", 6379)
if not ok then
    ngx.say("failed to connect to Redis: ", err)
    return
end

-- 检查是否被封禁
local blocked_res, err = red:get("blocked_ip:" .. client_ip)
if blocked_res == "1" then
    ngx.exit(ngx.HTTP_FORBIDDEN)  -- 如果被封禁，返回403
end

-- 记录访问次数
local count, err = red:incr("ip:" .. client_ip)
if not count then
    ngx.say("failed to increment IP counter: ", err)
    return
end

-- 设置过期时间
if count == 1 then
    red:expire("ip:" .. client_ip, expire_time)
end

-- 检查访问次数是否超过阈值
if count > max_requests then
    red:set("blocked_ip:" .. client_ip, 1)
    red:expire("blocked_ip:" .. client_ip, block_time)  -- 封禁300秒
    ngx.exit(ngx.HTTP_FORBIDDEN)  -- 返回403
end

-- 关闭 Redis 连接
red:close()

5.Nginx 配置

接下来，我们需要在 Nginx 配置文件中使用此 Lua 脚本。

http {
    lua_shared_dict limit_dict 10m;  # 定义共享内存字典

    server {
        listen 80;
        server_name example.com;

        location / {
            access_by_lua_block {
                -- 在此使用上述的 Lua 脚本
                local script = [[
                    local redis = require "resty.redis"
                    local red = redis:new()
                    red:set_timeout(1000)  -- 1秒超时

                    -- 获取客户端 IP
                    local client_ip = ngx.var.remote_addr
                    local max_requests = 100  -- 设置最大请求次数
                    local expire_time = 60    -- 设置过期时间为60秒
                    local block_time = 300    -- 设置封禁时间为300秒

                    -- 连接 Redis
                    local ok, err = red:connect("127.0.0.1", 6379)
                    if not ok then
                        ngx.say("failed to connect to Redis: ", err)
                        return
                    end

                    -- 检查是否被封禁
                    local blocked_res, err = red:get("blocked_ip:" .. client_ip)
                    if blocked_res == "1" then
                        ngx.exit(ngx.HTTP_FORBIDDEN)  -- 如果被封禁，返回403
                    end

                    -- 记录访问次数
                    local count, err = red:incr("ip:" .. client_ip)
                    if not count then
                        ngx.say("failed to increment IP counter: ", err)
                        return
                    end

                    -- 设置过期时间
                    if count == 1 then
                        red:expire("ip:" .. client_ip, expire_time)
                    end

                    -- 检查访问次数是否超过阈值
                    if count > max_requests then
                        red:set("blocked_ip:" .. client_ip, 1)
                        red:expire("blocked_ip:" .. client_ip, block_time)  -- 封禁300秒
                        ngx.exit(ngx.HTTP_FORBIDDEN)  -- 返回403
                    end

                    -- 关闭 Redis 连接
                    red:close()
                ]]
                ngx.execute_lua(script)
            }
            proxy_pass http://backend;
        }
    }
}

6.测试

• 启动 Redis：