必须用lua脚本实现滑动窗口限流，因其能原子执行zremrangebyscore清理、zcard统计、zadd写入三步操作；否则高并发下因竞态条件导致超限，且需合理设计key、传入应用层时间戳、显式设置expire。
为什么不能用多个Redis命令拼接实现滑动窗口
直接在应用层调用 ZREMRANGEBYSCORE、ZCARD、ZADD 三步操作，看似逻辑清晰，但高并发下必然出错。两个请求几乎同时执行，都查到当前请求数为99，都判断“未超限”，结果一起写入，变成101次——这就是典型的竞态条件。
根本问题在于：ZSet 的清理、统计、写入不是原子的。网络延迟 + 应用层调度间隙，让并发请求有机会“插队”。哪怕加了本地锁，也只对单机有效，分布式环境完全失效。
- 固定窗口（
INCR+EXPIRE）只能做到“每秒重置”，无法支持“任意1秒内”统计 - Pipeline 虽能减少往返，但不改变多命令非原子的本质，仍可能被其他客户端命令穿插
- 仅靠
ZCOUNT不清理旧数据，内存会持续增长，最终 OOM
EVAL 脚本中必须包含的三个核心操作
Lua 脚本不是可选优化，而是滑动窗口限流的底线要求。一个可用的脚本必须一次性完成以下三件事：
- 用
ZREMRANGEBYSCORE清理窗口外数据：范围要设为0到now - window_ms，注意左闭右闭语义，避免边界时间点被重复计入两个窗口 - 用
ZCARD获取当前窗口内请求数量：不要用ZCOUNT再算一次，ZCARD更快且结果确定 - 仅当未超限时，才用
ZADD写入新请求：score 必须是毫秒级时间戳（如System.currentTimeMillis()），member 建议用唯一标识（如 UUID 或req_+毫秒+随机数），避免 score 相同导致覆盖
示例关键片段：
local windowStart = now - window<br>redis.call('ZREMRANGEBYSCORE', key, 0, windowStart)<br>local current = redis.call('ZCARD', key)<br>if current redis.call('ZADD', key, now, requestId)<br> redis.call('EXPIRE', key, math.ceil(window / 1000) + 1)<br> return 1<br>else<br> return 0<br>end
key 设计与过期策略的隐性陷阱
key 不只是“随便起个名字”，它直接决定限流粒度和内存安全：
Redis Skill - 高性能缓存管理
下载
Redis 缓存和数据结构管理技能。通过自然语言操作 Redis，支持 String、Hash、List、Set、ZSet、Stream 等数据结构操作。当用户提到 Redis、缓存、消息队列、会话存储时使用此技能。
- key 名应携带业务上下文，比如
rate:login:ip:192.168.1.100或rate:api:/order/create:uid:12345，避免不同资源共用同一 key 导致误限 - 必须调用
EXPIRE设置过期时间，否则空 ZSet 永远残留。过期时间建议设为window_ms / 1000 + 1秒，比窗口长一点，防止刚清空就过期，又因新请求触发重建 - 不要依赖
ZSET自身“自动过期”——它不会自动删空 key，得靠EXPIRE显式控制生命周期
漏掉 EXPIRE 是线上最常被忽略的问题之一：ZSet 看似没数据（ZCARD 返回 0），但 key 本身还占内存，积少成多直接拖垮 Redis。
Java 中调用 Lua 脚本的最小可行封装
Spring Boot 项目里，别手写 EVAL 字符串拼接。用 DefaultRedisScript 封装一次，复用 everywhere：
- 脚本文件（
sliding_window.lua）放在resources/下，内容保持纯 Lua，不带 Java 变量插值 - 声明
DefaultRedisScript<long></long>bean，设置resultType为Long.class，因为返回值是 1 或 0 - 调用时传入
KEYS[1]（key）、ARGV[1]（当前毫秒时间戳）、ARGV[2]（窗口毫秒数）、ARGV[3]（阈值）、ARGV[4]（requestId）
关键代码片段：
redisTemplate.execute(limitScript,<br> Collections.singletonList(key),<br> String.valueOf(now),<br> String.valueOf(windowMs),<br> String.valueOf(maxCount),<br> requestId);
注意：now 必须由应用层传入（而非 Lua 里用 redis.call("TIME")），否则各节点系统时间不一致会导致窗口漂移。
真正难的从来不是写对那几行 Lua，而是想清楚 key 怎么分、时间戳谁来提供、过期时间设多长、member 怎么防冲突——这些细节不抠准，脚本再漂亮，上线就是事故。
