快捷導(dǎo)航

SpringBoot實現(xiàn)基于URL和IP的訪問頻率限制

更新時間：2025年01月08日 09:02:37 作者：孤蓬&聽雨

在現(xiàn)代?Web?應(yīng)用中,接口被惡意刷新或暴力請求是一種常見的攻擊手段,為了保護系統(tǒng)資源,需要對接口的訪問頻率進行限制,下面我們就來看看如何使用?Spring?Boot?實現(xiàn)基于?URL?和?IP?的訪問頻率限制吧

1. 引言

在現(xiàn)代 Web 應(yīng)用中，接口被惡意刷新或暴力請求是一種常見的攻擊手段。為了保護系統(tǒng)資源，防止服務(wù)器過載或服務(wù)不可用，需要對接口的訪問頻率進行限制。本文將介紹如何使用 Spring Boot 實現(xiàn)基于 URL 和 IP 的訪問頻率限制，具體步驟包括：

使用攔截器攔截請求：在每個請求到達控制器之前進行攔截。

使用 Redis 存儲訪問記錄：利用 Redis 的高性能特性來存儲每個 IP 對每個 URL 的訪問次數(shù)。

檢測訪問頻率：判斷 IP 在一定時間內(nèi)對特定 URL 的訪問次數(shù)是否超過限制。

禁用惡意 IP：如果超過限制，則將 IP 列入黑名單，禁止其后續(xù)訪問。

2. 項目依賴

首先，在 pom.xml 中添加必要的依賴，包括 Spring Boot Web、Spring Boot Starter Data Redis 和 Lombok（用于簡化代碼）。

<!-- Spring Boot Starter Data Redis -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-data-redis</artifactId>
    <version>3.4.1</version>
</dependency>

<!-- Lombok (可選，用于簡化代碼) -->
<dependency>
    <groupId>org.projectlombok</groupId>
    <artifactId>lombok</artifactId>
    <optional>true</optional>
</dependency>

3. 配置 Redis

在 application.properties 中配置 Redis 連接信息：

server.port=8080
# Redis 配置
spring.redis.host=127.0.0.1
spring.redis.port=6379
spring.redis.database=0
# 可選：設(shè)置密碼
# spring.redis.password=yourpassword

或在 application.yml 中配置Redis連接信息：

server:
  port: 8080

spring:
  application:
    name: urlInterceptorDemo

  data:
    # redis 配置
    redis:
      # 地址
      host: 127.0.0.1
      # 端口，默認為6379
      port: 6379
      # 數(shù)據(jù)庫索引
      database: 0
      # 密碼
      password: "123456"
      # 連接超時時間
      timeout: 10s

4. 創(chuàng)建攔截器

創(chuàng)建一個攔截器 RateLimitInterceptor，用于攔截每個請求并執(zhí)行訪問頻率限制邏輯。

package com.yyqq.urlinterceptordemo.Interceptor;

import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.data.redis.core.RedisTemplate;
import org.springframework.stereotype.Component;
import org.springframework.web.servlet.HandlerInterceptor;

import java.util.concurrent.TimeUnit;

@Component
public class RateLimitInterceptor implements HandlerInterceptor {

    @Autowired
    public RedisTemplate redisTemplate;

    // 訪問頻率限制：每個 IP 每個 URL 最多訪問 100 次 / 分鐘
    private static final int MAX_REQUESTS = 10;
    private static final int TIME_WINDOW = 60; // 秒

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String ip = getClientIP(request);
        String url = request.getRequestURI();

        String key = "rate_limit:" + url + ":" + ip;
        long count = redisTemplate.opsForValue().increment(key, 1);
        if (count == 1) {
            // 設(shè)置鍵的過期時間為 TIME_WINDOW 秒
            redisTemplate.expire(key, TIME_WINDOW, TimeUnit.SECONDS);
        }

        if (count > MAX_REQUESTS) {
            response.setStatus(HttpServletResponse.SC_FORBIDDEN);
            response.setContentType("text/html;charset=UTF-8");
            response.getWriter().write("請求過于頻繁，請稍后再試。");
            return false;
        }

        return true;
    }

    private String getClientIP(HttpServletRequest request) {
        String ip = request.getHeader("X-Forwarded-For");
        if (ip == null || ip.isEmpty() || "unknown".equalsIgnoreCase(ip)) {
            ip = request.getHeader("Proxy-Client-IP");
        }
        if (ip == null || ip.isEmpty() || "unknown".equalsIgnoreCase(ip)) {
            ip = request.getHeader("WL-Proxy-Client-IP");
        }
        if (ip == null || ip.isEmpty() || "unknown".equalsIgnoreCase(ip)) {
            ip = request.getRemoteAddr();
        }
        return ip;
    }
}

代碼說明

RedisTemplate：用于與 Redis 進行交互。

MAX_REQUESTS 和 TIME_WINDOW：定義每個 IP 在每個 URL 上的最大訪問次數(shù)和時間窗口（60 秒）。

preHandle 方法：

獲取客戶端 IP 和請求的 URL。

構(gòu)建 Redis 鍵，例如 rate_limit:/api/data:192.168.1.1。

使用 increment 方法對鍵進行遞增，并設(shè)置過期時間。

如果訪問次數(shù)超過 MAX_REQUESTS，則返回 403 狀態(tài)碼，并返回錯誤信息。

getClientIP 方法：獲取客戶端的真實 IP，處理代理和負載均衡的情況。

5. 注冊攔截器

創(chuàng)建一個配置類 WebConfig，將攔截器注冊到 Spring MVC 中。

package com.yyqq.urlinterceptordemo.config;


import com.yyqq.urlinterceptordemo.Interceptor.RateLimitInterceptor;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.*;

@Configuration
public class WebConfig implements WebMvcConfigurer {

    @Autowired
    private RateLimitInterceptor rateLimitInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(rateLimitInterceptor)
                .addPathPatterns("/**") // 攔截所有路徑
                .excludePathPatterns("/error"); // 排除錯誤路徑
    }
}

代碼說明

addInterceptors 方法：將自定義的攔截器添加到攔截器鏈中，并指定攔截的路徑模式。
addPathPatterns("/")**：攔截所有路徑。
excludePathPatterns(“/error”)：排除錯誤路徑，避免攔截器影響錯誤處理。

6. 創(chuàng)建控制器

創(chuàng)建一個簡單的控制器 DemoController，包含一個示例接口用于測試。

package com.yyqq.urlinterceptordemo.controller;

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
@RequestMapping("/test")
public class DemoController {

    @GetMapping("/getData")
    public String getData() {
        return "這是數(shù)據(jù)接口，現(xiàn)在訪問正常！";
    }
}

8. 測試

啟動 Spring Boot 應(yīng)用后，可以進行以下測試：

1.正常訪問：

訪問 http://localhost:8080/test/getData，應(yīng)返回 “這是數(shù)據(jù)接口，現(xiàn)在訪問正常！”。

多次快速刷新，訪問次數(shù)達到 10 次后，應(yīng)返回 “請求過于頻繁，請稍后再試。”，并返回 403 狀態(tài)碼。

2.禁用 IP：

在達到限制后，等待一段時間（60 秒），再次訪問應(yīng)恢復(fù)正常。

9. 總結(jié)

通過結(jié)合使用 Spring Boot 攔截器和 Redis，本文實現(xiàn)了一種基于 URL 和 IP 的訪問頻率限制機制。這種機制能夠有效地防止接口被惡意刷新和暴力請求，保護系統(tǒng)資源，提高應(yīng)用的安全性和穩(wěn)定性。在實際應(yīng)用中，可以根據(jù)具體需求調(diào)整訪問頻率限制的參數(shù)，如最大訪問次數(shù)和時間窗口。此外，還可以結(jié)合其他安全措施，如 IP 黑名單、驗證碼等，進一步增強系統(tǒng)的防護能力。

到此這篇關(guān)于SpringBoot實現(xiàn)基于URL和IP的訪問頻率限制的文章就介紹到這了,更多相關(guān)SpringBoot訪問頻率限制內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

您可能感興趣的文章: