Golang怎么实现接口防刷_Golang如何用IP和Token双维度限制恶意请求【实战】-Golang-PHP中文网

net/http 默认不防刷因其无状态设计，仅转发请求；ip+token被绕过主因是限流未绑定上下文维度、token未绑定ip、真实ip提取错误、内存计数器并发不安全。

golang怎么实现接口防刷_golang如何用ip和token双维度限制恶意请求【实战】

因为 HTTP 是无状态的，net/http 本身只管转发请求，不做任何访问控制。你加了限流但没绑定上下文维度，攻击者换 IP 或复用合法 Token 就能打穿。关键不是“加没加”，而是“限在哪儿、依据谁、失效是否及时”。

Token 负责身份合法性，IP（真实客户端 IP）负责行为合理性，二者必须同时满足才计数。Redis 不仅存 Token 状态，更要存 ip:token_hash 组合键，避免 Token 泛化复用。

真实 IP 要从 X-Forwarded-For 或 X-Real-IP 提取，且需配置可信代理列表（如 trustedProxies = []string{"10.0.0.0/8"}），否则可伪造
Token 建议用 securecookie 解析并提取 payload 中的 user_id 和 exp，再拼接成 key：fmt.Sprintf("rate:%s:%x", clientIP, sha256.Sum256([]byte(token)).[:8])
Redis 计数用 INCR + EXPIRE 原子操作，例如：redis.Do("INCR", key); redis.Do("EXPIRE", key, 60)，不能分两步

别在 handler 里写 if-else 判断计数超限后 return，那会漏掉写响应头、日志、清理资源等动作。要用 defer + responseWriter 包装，确保无论是否拦截都走统一出口。

Golang Naming

Go（Golang）命名规范 — 包括包、构造函数、结构体、接口、常量、枚举、错误、布尔值、接收器、getter/setter、函数等。

下载

封装一个 RateLimitMiddleware(redisClient *redis.Client, windowSec int, maxReq int)，接收 Redis 客户端和窗口参数
中间件内先调 parseToken(r) 和 getClientIP(r)，任一失败直接 http.Error(w, "Unauthorized", http.StatusUnauthorized)
计数前先检查 redis.Exists(key)，存在才 INCR；若返回值 > maxReq，写响应头 w.Header().Set("X-RateLimit-Remaining", "0") 并 return 429
注意：不要在中间件里 defer r.Body.Close()，net/http 已处理；但若你读了 r.Body（比如解析 JSON），必须手动 io.Copy(ioutil.Discard, r.Body) 否则后续 handler 拿不到 body

这是 Redis 版本兼容问题：INCR 在 Redis 2.6+ 支持原子自增+过期（INCR + EXPIRE），但有些云 Redis（如阿里云 ApsaraDB）默认开启 proxy 模式，不支持多命令原子性。错误不是代码写错，是服务端能力缺失。

验证方式：直连 Redis 执行 redis-cli -h your-host INCR testkey; redis-cli -h your-host EXPIRE testkey 60，看是否报错
临时解法：改用 SET key 1 EX 60 NX（首次设置），再用 INCR key，但需额外判断 key 是否已存在
长期方案：换用 Redis Lua 脚本封装整个逻辑，例如 eval "if redis.call('exists', KEYS[1]) == 0 then redis.call('setex', KEYS[1], ARGV[1], 1) else redis.call('incr', KEYS[1]) end" 1 ip:token 60

真正难的不是写对一行 INCR，而是想清楚：Token 是谁发的、IP 是谁看到的、Redis 是谁托管的——三个“谁”不一致时，双维度就塌了一半。