ThinkPHP 6.0 利用 Nginx Lua 脚本实现动态黑名单封禁【WAF】-ThinkPHP-PHP中文网

nginx + lua（openresty）可在入口层实现thinkphp 6.0的动态ip黑名单封禁，无需侵入业务代码；需配置redis连接池、在access_by_lua_block中查询blacklist:ip并显式ngx.exit(403)，配合ttl过期与后台管理接口提升实用性。

thinkphp 6.0 利用 nginx lua 脚本实现动态黑名单封禁【waf】

ThinkPHP 6.0 本身不内置 WAF 黑名单封禁能力，但可通过 Nginx + Lua（如 OpenResty）在请求入口层实现高效、低开销的动态黑名单控制，避免侵入业务代码，也绕过 PHP 解析开销。

一、Nginx + Lua 环境准备

需使用 OpenResty（含 Lua 和 lua-resty-redis 等常用模块），或在标准 Nginx 上编译安装 ngx_http_lua_module。确认 Lua 模块加载成功：

执行 nginx -V 2>&1 | grep -o with-http_lua_module，有输出即支持
Redis 用于持久化黑名单 IP，推荐启用连接池与超时设置
建议将黑名单 TTL 设为 300～3600 秒，兼顾实效性与内存压力

二、Lua 脚本实现动态拦截逻辑

在 http 块中定义 Redis 连接与黑名单检查函数，例如：

lua_shared_dict ip_blacklist 10m;
init_by_lua_block {
    local redis = require "resty.redis"
    local red = redis:new()
    red:set_timeouts(1000, 1000, 1000)
    -- 可缓存连接池或延迟初始化
}
<p>access_by_lua_block {
local ip = ngx.var.remote_addr
local red = require "resty.redis":new()
red:set_timeouts(1000, 1000, 1000)
local ok, err = red:connect("127.0.0.1", 6379)
if not ok then
ngx.log(ngx.WARN, "redis connect failed: ", err)
return
end
local bl, err = red:get("blacklist:" .. ip)
if bl == "1" then
ngx.status = 403
ngx.say("Forbidden")
ngx.exit(403)
end
}</p>

注意：生产环境应复用 redis 连接池、加异常兜底、避免阻塞主流程。