beego 不支持 lua，防重放必须用 redis+lua 原子执行；需在 main 启动时预注册脚本，并通过全局中间件校验 nonce、时间戳和用户身份。
Beego 本身不支持 Lua，别在 controller 里硬塞 lua 脚本
Beego 是纯 Go 编写的 Web 框架，运行时没有 Lua 解释器，也不提供任何内置 Lua 执行能力。你无法在 controllers 或 models 中直接写 lua 脚本、调用 lua_do_something() 或加载 .lua 文件——这些代码根本不会被识别，更不会执行。
常见错误现象是：开发者误以为“防重放=加个脚本”，于是把 Redis+Lua 的限流逻辑复制进 Beego 的某个 Post 方法里，用 os/exec 调用系统 lua 命令，结果触发权限问题、路径错误或超时失败；或者更糟，用字符串拼接构造 Redis 命令，手动 GET/SET，完全失去原子性。
- Beego 的职责是处理 HTTP 生命周期：路由分发、参数解析、中间件链、ORM 操作、响应渲染
- 防重放（replay attack）本质是「请求唯一性验证」，必须在请求入口层完成，越早越好
- 真正能安全执行 Lua 的位置只有两个：Redis 服务端（
EVAL/register_script）、Nginx/OpenResty 进程内（access_by_lua_block）
防重放必须依赖外部组件：Redis + Lua 是当前最稳的组合
在 Beego 项目中实现防重放，核心逻辑不能写在 Go 代码里，而应下沉到 Redis 层，用 Lua 脚本保证「校验 nonce + 时间戳 + 签名」三步原子执行。Beego 只需负责提取请求头（如 X-Nonce、X-Timestamp、X-Signature），传给封装好的 Redis 调用。
关键点在于：防重放不是“防止重复提交”，而是“拒绝已使用过的请求凭证”。所以你需要：
- 客户端每次请求携带唯一
nonce（如 UUIDv4）和当前秒级时间戳（ts） - 服务端用
nonce作为 Redis key，过期时间设为ts + 300（5 分钟窗口） - Lua 脚本一次性完成：
EXISTS判断是否已存在 → 不存在则SET并设EX→ 存在则返回 0 表示拒绝 - Beego 中只需调用预注册的脚本对象，例如：
script.RedisClient.evalsha(script.sha, 1, nonce_key, "1", "300")
注意：不要用 redis_client.eval(...) 每次传完整脚本字符串，高并发下会引发 Redis CPU 暴涨和网络抖动；务必用 register_script 预加载。
register_script 必须在 Beego 启动时初始化，不能放 controller 里
很多人把 register_script 写在某个 controller 的 Post 方法里，导致每次请求都重复注册，既浪费资源又可能因并发注册引发 Redis 错误（ERR Error running script (call to f_...): @user_script:1: user_script:1: attempt to compare number with nil）。
正确做法是在 main.go 的 beego.Run() 之前完成初始化：
var replayScript *redis.Script
func initRedisScript() {
client := redis.NewClient(&redis.Options{
Addr: "localhost:6379",
})
scriptContent := `
if redis.call("exists", KEYS[1]) == 1 then
return 0
else
return redis.call("setex", KEYS[1], tonumber(ARGV[1]), ARGV[2])
end
`
replayScript = client.RegisterScript(scriptContent)
}
func main() {
initRedisScript()
beego.Run()
}
这样整个进程生命周期内只注册一次，后续所有 controller 都可安全复用 replayScript 对象。
- 脚本返回值必须明确：0 表示已存在（拒绝），1 表示首次录入（放行）
-
ARGV[2]建议传入客户端签名摘要（如 HMAC-SHA256(ts+nonce+secret)），避免仅靠 nonce 被撞库 - key 命名建议带业务前缀，如
replay:uid_123:+nonce，防止不同用户 nonce 冲突
Beego 中间件是最自然的防重放注入点
把防重放逻辑塞进每个 controller 的 Prepare() 方法里，会导致重复代码、漏加风险、难以统一配置。应该用 Beego 的 InsertFilter 注册全局中间件，在路由匹配后、controller 执行前拦截校验。
示例中间件片段：
func ReplayMiddleware(ctx *context.Context) {
nonce := ctx.Input.Header("X-Nonce")
tsStr := ctx.Input.Header("X-Timestamp")
if nonce == "" || tsStr == "" {
ctx.Abort(400, "missing X-Nonce or X-Timestamp")
return
}
ts, err := strconv.ParseInt(tsStr, 10, 64)
if err != nil || time.Now().Unix()-ts > 300 {
ctx.Abort(400, "invalid timestamp")
return
}
key := "replay:" + ctx.Input.Session().Get("uid").(string) + ":" + nonce
ret, err := replayScript.Do(ctx.Input.Ctx.Request.Context(), key, "300", "1").Result()
if err != nil || ret == int64(0) {
ctx.Abort(403, "replay detected")
return
}
}
然后在 main.go 中注册：
beego.InsertFilter("/*", beego.BeeApp.Handlers, ReplayMiddleware, true)
这里最容易被忽略的是：中间件中必须检查时间戳有效性（如 5 分钟窗口），否则攻击者可重放旧请求；同时 key 必须绑定用户身份（如 session uid），不能只用 nonce，否则不同用户之间会互相干扰。
