Nginx动态黑名单同步Redis集群采用“中心化存储+本地缓存+变更通知”架构：Redis集群为权威存储，Nginx用shared dict本地缓存并定期刷新，后端服务接收HTTP更新、写入Redis并广播通知，确保多实例视图一致。
通过 Nginx 网关实现动态黑名单同步至 Redis 集群，核心在于：Nginx 侧实时拦截请求并查询黑名单，同时提供外部接口（如 HTTP API）接收运营或风控系统下发的黑名单变更，并将变更广播/写入 Redis 集群，确保多节点 Nginx 实例共享一致的黑名单视图。
1. 架构设计要点
需避免单点瓶颈和数据不一致。推荐采用「中心化存储 + 本地缓存 + 变更通知」模式：
- Redis 集群作为权威黑名单存储：所有黑名单条目（如 IP、UID、Token）以 SET 或 HASH 结构存于 Redis，支持 TTL 自动过期
- Nginx 每个实例本地缓存（shared dict）定期刷新：减少对 Redis 的高频直连，提升拦截性能
- 统一的黑名单管理服务（如 Go/Python 后端）负责写入与广播：接收 HTTP POST 请求，写入 Redis，并可选通过 Redis Pub/Sub 或消息队列通知各 Nginx 实例主动 reload 缓存
2. Nginx 侧黑名单校验（使用 lua-resty-redis + shared dict）
在 nginx.conf 的 http 块中定义共享字典，并在 access_by_lua_block 中拦截：
lua_shared_dict blacklisted_ips 10m;
upstream redis_backend {
server 192.168.1.10:6379;
server 192.168.1.11:6379;
# 使用 redis-cluster 模式需配合 lua-resty-redis-cluster
}
在 location 中添加 Lua 校验逻辑：
access_by_lua_block {
local dict = ngx.shared.blacklisted_ips
local ip = ngx.var.remote_addr
local now = ngx.now()
<pre class="brush:php;toolbar:false;">-- 先查本地缓存
local cached = dict:get(ip)
if cached == 1 then
return ngx.exit(403)
elseif cached == 0 then
-- 缓存标记为“不存在”，跳过 Redis 查询（防穿透）
return
end
-- 缓存未命中，查 Redis（建议用连接池）
local redis = require "resty.redis"
local red = redis:new()
red:set_timeout(100)
red:connect("192.168.1.10", 6379)
local ok, err = red:sismember("blacklist:ip", ip)
if ok == 1 then
dict:set(ip, 1, 30) -- 缓存 30 秒，防止重复查
return ngx.exit(403)
elseif ok == 0 then
dict:set(ip, 0, 30) -- 显式缓存“不在黑名单”
end}
3. 黑名单动态更新与集群同步
提供一个管理接口（如 /api/v1/blacklist/update），由运维平台调用：
- 接收 JSON 如
{"type":"ip","value":"192.168.5.100","ttl":3600} - 后端服务写入 Redis：
SADD blacklist:ip "192.168.5.100"+EXPIRE blacklist:ip 3600（或用SET blacklist:ip:192.168.5.100 1 EX 3600避免大 SET 膨胀） - 为触发 Nginx 缓存刷新，可：
• 发送 Pub/Sub 消息到channel:blacklist:refresh，各 Nginx 实例用redis:subscribe监听并清空对应 key 缓存
• 或调用 Nginx 内部 API（如 openresty 的ngx.location.capture）触发 reload 逻辑
• 更轻量做法：让 Nginx 定期（如每 10 秒）用dict:flush_all()或按前缀清理过期缓存
4. 注意事项与优化建议
实际落地时需关注稳定性与扩展性：
- 避免 Redis 单点故障：使用 Redis Cluster 或哨兵模式，Lua 脚本需适配重试逻辑
-
黑名单结构选型：高频查 IP 推荐用 SET；若需携带元数据（如封禁原因、时间），改用 HASH（
HSET blacklist:ip 192.168.5.100 '{"reason":"scan","at":1717023456}'） - 防止缓存雪崩：为 shared dict 设置随机 TTL（如 25–35 秒），而非统一值
-
支持批量操作：管理接口应支持数组传入，后端用
pipeline批量写入 Redis，降低 RT -
可观测性：记录拦截日志（
log_by_lua）、Redis 查询耗时、缓存命中率，便于排查漏拦/误拦
不复杂但容易忽略：Nginx worker 进程间 shared dict 不互通，必须依赖中心化 Redis 保证全局一致性；而本地缓存只是性能优化层，不能替代 Redis 的权威性。
