应使用redis+lua原子脚本实现ip限流与拉黑，配合@app.before_request拦截，并对内网和健康检查路径放行；真实ip需从x-real-ip等头获取；拉黑后返回伪装的200响应以隐藏防御。
Flask接口被频繁请求，怎么快速识别并拦截恶意IP
直接用 request.remote_addr 拿到客户端真实IP后，不能只靠内存字典或简单计数器做限流——重启就丢数据，多进程下计数不同步，还容易被绕过。Redis 是唯一靠谱的共享存储底座，但光用 INCR + EXPIRE 两步操作，在高并发下会因竞态导致漏判（比如两个请求同时读到 4，各自加 1 写回 5，实际应为 6）。必须用 Lua 脚本把“读-判-增-设过期”压成原子操作。
Redis+Lua 实现原子化 IP 计数与自动拉黑
核心是写一个 Lua 脚本，传入 IP、阈值、窗口时间三个参数，返回当前计数值和是否已拉黑。脚本里用 redis.call("INCR", key) 初始化或自增，再用 redis.call("EXPIRE", key, ttl) 确保键带过期时间（注意：EXPIRE 在键不存在时返回 0，不影响逻辑）；最后查 redis.call("GET", key) 判定是否超限。Flask 中通过 redis_client.eval(script, 1, ip_key, *args) 调用，第一个参数 1 表示只传一个 key（IP 的键），其余为 argv 参数。
- 脚本中不要用
if直接 return 布尔值，统一返回数组（如{count, is_blocked}），Python 侧解包更稳 - IP 键建议加前缀，如
"rate:ip:" .. ip，避免和其他业务 key 冲突 - 别用
GETSET替代INCR+EXPIRE，它无法保证首次写入时设置过期时间
如何让 Flask 在路由执行前就拦截已拉黑的 IP
用 @app.before_request 钩子最合适。但注意两点：一是必须提前检查 Redis 连接是否存活（加 try/except redis.ConnectionError），否则 Redis 挂了会导致所有请求 500；二是对内网地址（如 127.0.0.1、192.168.x.x）和健康检查路径（如 /health）要放行，否则监控告警会失效。
- 获取真实 IP 时，如果用了 Nginx 反向代理，得从
request.headers.get("X-Real-IP")或X-Forwarded-For取，而不是直接信remote_addr - 拦截时用
abort(403)，别用return拼 HTML，否则可能绕过后续中间件 - 记录日志要用异步方式（如
queue.put()或 Celery），避免阻塞主请求流
拉黑后怎么让攻击者“感觉不到被封”
直接返回 403 容易暴露防御存在。更稳妥的做法是：对已拉黑 IP，返回和正常接口一致的状态码（如 200）、结构、甚至随机延迟（time.sleep(random.uniform(0.1, 0.5))），但 body 固定为 {"code": 0, "msg": "success", "data": {}} 这类无害响应。这样扫描工具无法区分真假响应，也无法根据错误码调整策略。
- 别在响应头里泄露防御信息，如移除
X-RateLimit-Remaining这类字段 - 拉黑时间不宜过长（建议 10–30 分钟），否则误伤成本高；也不宜过短（
- Redis 中拉黑状态和计数要用同一 key，避免用两个 key 导致状态不一致
真正难的是 IP 伪造和代理链——X-Forwarded-For 可被篡改，真实用户走 CDN 后 remote_addr 是 CDN 节点 IP。这时候得结合 User-Agent、请求频率模式、TLS 指纹等做二次校验，纯 IP 黑名单只是第一道沙袋。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
