OpenResty 是实现 Nginx 动态黑名单封禁的最优方案，需部署 OpenResty（≥1.21.4.2）、Redis 和 Linux 环境；通过 lua_shared_dict 建共享内存、init_worker_by_lua_file 定时从 Redis 全量加载黑名单；access_by_lua_file 中内存级 IP 检测并 ngx.exit(403) 快速拦截；支持 redis-cli、API 或自动限流联动写入 Redis，Nginx 自动同步无需 reload。
用 Nginx 实现动态黑名单封禁，核心在于绕过静态配置、避免重启服务，同时兼顾性能与分布式一致性。OpenResty 是最成熟的选择，它把 Lua 运行时深度集成进 Nginx，支持共享内存、Redis 连接、定时任务等关键能力，让封禁逻辑真正“活”起来。
必须准备的运行环境
基础组件缺一不可：
- OpenResty（非普通 Nginx）：推荐 1.21.4.2 或更新版本，自带 lua-resty-redis、lua_shared_dict 等模块，无需手动编译加载
- Redis 服务器：用于集中存储和更新黑名单，建议开启密码认证并限制访问来源
- Linux 系统（CentOS 7+/Ubuntu 20.04+）：确保 time、curl、gcc 等基础工具可用，便于调试和脚本触发
关键配置：共享内存 + 定时加载
在 http 块中定义共享字典，这是多 worker 进程共用黑名单的基石：
lua_shared_dict ip_blacklist 50m;
该配置分配 50MB 内存，按每个 IP 字符串平均 20 字节估算，可缓存约 250 万个 IP 地址。大小需根据预期黑名单规模预留余量，但不宜过大以免影响 Nginx 启动和内存碎片。
使用 init_worker_by_lua_file 启动后台定时器，而非 init_by_lua_block，避免阻塞主进程初始化：
init_worker_by_lua_file /usr/local/openresty/nginx/conf/lua/load_blacklist.lua;
这个脚本负责每 60 秒连接 Redis，拉取 ip_blacklist 这个 Set 类型数据，并全量写入共享内存 —— 不是增量更新，而是先 flush_all() 再逐条 set(ip, true)，确保最终一致性。
封禁逻辑：轻量检测 + 快速拦截
在 server 或 location 块中挂载访问控制脚本：
access_by_lua_file /usr/local/openresty/nginx/conf/lua/check_blacklist.lua;
脚本内只需三步：
- 调用 ngx.var.real_ip 获取真实客户端 IP（需提前在 nginx.conf 中用 map 指令处理 X-Forwarded-For 和 IPv6 兼容）
- 查 ngx.shared.ip_blacklist:get(client_ip)，命中即返回 true
- 若为 true，直接 ngx.exit(403)，不走后续 proxy_pass 或静态文件逻辑
整个过程在内存中完成，单次判断耗时通常低于 0.1ms，对吞吐无明显影响。
管理黑名单：不止靠 Redis
生产中建议组合多种方式，提升灵活性：
- 运维手动维护：用 redis-cli 执行 SADD ip_blacklist "192.168.1.100" 或 SREM，立即生效
- API 接口对接：写一个简单 HTTP 接口（如 Flask/Node.js），接收 POST 请求添加/删除 IP，再调用 Redis 命令
- 自动封禁联动：另配一个限流 Lua 脚本（如基于 redis 计数），触发阈值后自动调用 redis:SADD 加入黑名单，实现“高频即拉黑”
注意所有写操作都作用于 Redis，Nginx worker 会在下个周期自动同步，无需人工 reload。
