接口被刷百萬QPS，怎么防？
作者：蘇三
今天我們不聊風(fēng)花雪月，只講這個(gè)讓無數(shù)開發(fā)者夜不能寐的終極命題：當(dāng)惡意流量如海嘯般撲來，如何守住你的系統(tǒng)防線？有些小伙伴在工作中可能經(jīng)歷過接口被刷的噩夢(mèng)，但百萬QPS量級(jí)的攻擊完全是另一個(gè)維度的戰(zhàn)爭(zhēng)。
前言
今天我們不聊風(fēng)花雪月，只講這個(gè)讓無數(shù)開發(fā)者夜不能寐的終極命題：當(dāng)惡意流量如海嘯般撲來，如何守住你的系統(tǒng)防線？
有些小伙伴在工作中可能經(jīng)歷過接口被刷的噩夢(mèng)，但百萬QPS量級(jí)的攻擊完全是另一個(gè)維度的戰(zhàn)爭(zhēng)。
今天這篇文章跟大家一起聊聊接口被刷百萬QPS，如何防御，希望對(duì)你會(huì)有所幫助。
為什么百萬QPS如此致命？
用一張圖給解釋一下百萬QPS的危害：
圖片
攻擊者三大核心武器：
- IP海洋戰(zhàn)術(shù)：10萬+代理IP池動(dòng)態(tài)輪轉(zhuǎn)，傳統(tǒng)IP限流失效。
- 設(shè)備克隆技術(shù)：偽造瀏覽器指紋，模擬真實(shí)設(shè)備行為。
- 協(xié)議級(jí)精準(zhǔn)攻擊：精心構(gòu)造的HTTP請(qǐng)求，繞過基礎(chǔ)WAF規(guī)則。
系統(tǒng)崩潰的致命鏈反應(yīng)：
- 線程池100%占用 → 新請(qǐng)求排隊(duì)超時(shí)
- 數(shù)據(jù)庫(kù)連接耗盡 → SQL執(zhí)行阻塞
- Redis響應(yīng)飆升 → 緩存穿透雪崩
- 微服務(wù)連環(huán)熔斷 → 服務(wù)不可用
那么，我們?cè)撊绾畏烙兀?/span>
第一道防線：基礎(chǔ)限流與熔斷
1. 網(wǎng)關(guān)層限流
我們需要在網(wǎng)關(guān)層做限流，目前主流的解決方案是：Nginx + Lua。
下面是Nginx的限流配置：
location /api/payment {
access_by_lua_block {
local limiter = require"resty.limit.req"
-- 令牌桶配置：1000QPS + 2000突發(fā)容量
local lim, err = limiter.new("payment_limit", 1000, 2000)
ifnot lim then
ngx.log(ngx.ERR, "限流器初始化失敗: ", err)
return ngx.exit(500)
end
-- 基于客戶端IP限流
local key = ngx.var.remote_addr
local delay, err = lim:incoming(key, true)
ifnot delay then
if err == "rejected"then
-- 返回429狀態(tài)碼+JSON錯(cuò)誤信息
ngx.header.content_type = "application/json"
ngx.status = 429
ngx.say([[{"code":429,"msg":"請(qǐng)求過于頻繁"}]])
return ngx.exit(429)
end
ngx.log(ngx.ERR, "限流錯(cuò)誤: ", err)
return ngx.exit(500)
end
}
}代碼解析：
- 使用OpenResty的
lua-resty-limit-req模塊 - 令牌桶算法：1000QPS常規(guī)流量 + 2000突發(fā)流量緩沖
- 基于客戶端IP維度限流
- 超出限制返回429狀態(tài)碼和JSON格式錯(cuò)誤
2. 分布式熔斷
面對(duì)大流量時(shí)，我們需要增加分布式熔斷機(jī)制，比如使用Sentinel集群流控。
下面是Sentinel集群的流控配置：
public class SentinelConfig {
@PostConstruct
public void initFlowRules() {
// 創(chuàng)建集群流控規(guī)則
ClusterFlowRule rule = new ClusterFlowRule();
rule.setResource("createOrder"); // 受保護(hù)資源
rule.setGrade(RuleConstant.FLOW_GRADE_QPS); // QPS限流
rule.setCount(50000); // 集群閾值5萬QPS
rule.setClusterMode(true); // 開啟集群模式
rule.setClusterConfig(new ClusterRuleConfig()
.setFlowId(123) // 全局唯一ID
.setThresholdType(1) // 全局閾值
);
// 注冊(cè)規(guī)則
ClusterFlowRuleManager.loadRules(Collections.singletonList(rule));
}
}流程圖如下：
圖片
實(shí)現(xiàn)原理：
- Token Server集中管理全集群流量配額
- 網(wǎng)關(guān)節(jié)點(diǎn)實(shí)時(shí)向Token Server申請(qǐng)令牌
- 當(dāng)集群總QPS超過閾值時(shí)，按比例限制各節(jié)點(diǎn)流量
- 避免單節(jié)點(diǎn)限流導(dǎo)致的集群流量不均衡問題
第二道防線：設(shè)備指紋與行為分析
1. 瀏覽器指紋生成
前端可以在瀏覽器上生成指紋，即使客戶端IP換了，但相同設(shè)備的指紋還是一樣的。
前端設(shè)備指紋生成方案，這里使用了Canvas+WebGL。
// 前端設(shè)備指紋生成方案
function generateDeviceFingerprint() {
// 1. 獲取基礎(chǔ)設(shè)備信息
const baseInfo = [
navigator.userAgent,
navigator.platform,
screen.width + 'x' + screen.height,
navigator.language
].join('|');
// 2. 生成Canvas指紋
const canvas = document.createElement('canvas');
const ctx = canvas.getContext('2d');
ctx.fillStyle = '#f60';
ctx.fillRect(0, 0, 100, 30);
ctx.fillStyle = '#069';
ctx.font = '16px Arial';
ctx.fillText('防御即藝術(shù)', 10, 20);
const canvasData = canvas.toDataURL();
// 3. 生成WebGL指紋
const gl = canvas.getContext('webgl');
const debugInfo = gl.getExtension('WEBGL_debug_renderer_info');
const renderer = gl.getParameter(debugInfo.UNMASKED_RENDERER_WEBGL);
// 4. 組合生成最終指紋
const fingerprint = md5(baseInfo + canvasData + renderer);
return fingerprint;
}指紋特性分析：
- 穩(wěn)定性：相同設(shè)備多次生成一致性 > 98%
- 唯一性：不同設(shè)備碰撞概率 < 0.1%
- 隱蔽性：用戶無感知，無法簡(jiǎn)單清除
2. 行為分析模型
我們還可以分析用戶的行為。
使用下面的鼠標(biāo)行為分析引擎：
import numpy as np
def analyze_mouse_behavior(move_events):
"""
分析鼠標(biāo)移動(dòng)行為特征
:param move_events: 鼠標(biāo)移動(dòng)事件列表 [{'x':100, 'y':200, 't':1680000000}, ...]
:return: 異常概率(0-1)
"""
# 1. 計(jì)算移動(dòng)速度序列
speeds = []
for i in range(1, len(move_events)):
prev = move_events[i-1]
curr = move_events[i]
dx = curr['x'] - prev['x']
dy = curr['y'] - prev['y']
distance = (dx**2 + dy**2) ** 0.5
time_diff = curr['t'] - prev['t']
# 防止除零
speed = distance / max(0.001, time_diff)
speeds.append(speed)
# 2. 計(jì)算加速度變化
accelerations = []
for i in range(1, len(speeds)):
acc = speeds[i] - speeds[i-1]
accelerations.append(acc)
# 3. 提取關(guān)鍵特征
features = {
'speed_mean': np.mean(speeds),
'speed_std': np.std(speeds),
'acc_max': max(accelerations),
'acc_std': np.std(accelerations),
'linearity': calc_linearity(move_events)
}
# 4. 使用預(yù)訓(xùn)練模型預(yù)測(cè)
return risk_model.predict([features])行為特征維度：
- 移動(dòng)速度：機(jī)器人速度恒定，真人波動(dòng)大
- 加速度：機(jī)器人加速度變化呈鋸齒狀
- 移動(dòng)軌跡線性度：機(jī)器人多為直線運(yùn)動(dòng)
- 操作間隔：機(jī)器人操作間隔高度一致
第三道防線：動(dòng)態(tài)規(guī)則引擎
1. 實(shí)時(shí)規(guī)則配置
我們還可以使用動(dòng)態(tài)規(guī)則引擎（比如：Drools引擎），可以配置風(fēng)控規(guī)則。
Drools風(fēng)控規(guī)則示例：
rule "高頻訪問敏感接口"
// 規(guī)則元數(shù)據(jù)
salience 100// 優(yōu)先級(jí)
no-loop true// 防止規(guī)則循環(huán)觸發(fā)
// 條件部分
when
$req : Request(
path == "/api/coupon/acquire", // 敏感接口
$uid : userId != null, // 登錄用戶
$ip : clientIp
)
// 統(tǒng)計(jì)同一用戶10秒內(nèi)請(qǐng)求次數(shù)
accumulate(
Request(
userId == $uid,
path == "/api/coupon/acquire",
this != $req, // 排除當(dāng)前請(qǐng)求
$ts : timestamp
);
$count : count($ts),
$minTime : min($ts),
$maxTime : max($ts)
)
// 判斷條件：10秒內(nèi)超過30次請(qǐng)求
eval($count > 30 && ($maxTime - $minTime) < 10000)
then
// 執(zhí)行動(dòng)作：阻斷并記錄
insert(new BlockEvent($uid, $ip, "高頻領(lǐng)券"));
$req.setBlock(true);
end規(guī)則引擎優(yōu)勢(shì)：
- 實(shí)時(shí)生效：新規(guī)則秒級(jí)推送
- 復(fù)雜條件：支持多維度聯(lián)合判斷
- 動(dòng)態(tài)更新：無需重啟服務(wù)
2. 多維關(guān)聯(lián)分析模型
我們需要建立一套多維關(guān)聯(lián)分析模型：
圖片
使用風(fēng)險(xiǎn)評(píng)分機(jī)制。
評(píng)分模型公式：
風(fēng)險(xiǎn)分 =
IP風(fēng)險(xiǎn)權(quán)重 × IP評(píng)分 +
設(shè)備風(fēng)險(xiǎn)權(quán)重 × 設(shè)備評(píng)分 +
行為異常權(quán)重 × 行為異常度 +
歷史畫像權(quán)重 × 歷史風(fēng)險(xiǎn)值終極防御架構(gòu)
下面用用一張圖總結(jié)一下百萬QPS防御的架構(gòu)體系：
圖片
核心組件解析：
1.流量清洗層（CDN）
- 過濾靜態(tài)資源請(qǐng)求
- 吸收70%以上流量沖擊
2.安全防護(hù)層（網(wǎng)關(guān)集群）
- 設(shè)備指紋生成：標(biāo)記每個(gè)請(qǐng)求源
- 分布式限流：集群級(jí)QPS控制
- 規(guī)則引擎：實(shí)時(shí)判斷風(fēng)險(xiǎn)
3.實(shí)時(shí)風(fēng)控層（Flink計(jì)算）
// Flink實(shí)時(shí)風(fēng)控處理
riskStream
.keyBy(req => req.getDeviceId()) // 按設(shè)備ID分組
.timeWindow(Time.seconds(10)) // 10秒滾動(dòng)窗口
.aggregate(new RiskAggregator) // 聚合風(fēng)險(xiǎn)指標(biāo)
.map(riskData => {
val score = riskModel.predict(riskData)
if(score > RISK_THRESHOLD) {
// 高風(fēng)險(xiǎn)請(qǐng)求阻斷
blockRequest(riskData.getRequestId())
}
})4.數(shù)據(jù)支撐層
- Redis：存儲(chǔ)實(shí)時(shí)風(fēng)險(xiǎn)畫像
- Flink：計(jì)算行為特征指標(biāo)
- 規(guī)則管理臺(tái)：動(dòng)態(tài)調(diào)整策略
血淚教訓(xùn)
1. IP白名單的陷阱
場(chǎng)景：將合作方IP加入白名單災(zāi)難：攻擊者入侵合作方服務(wù)器發(fā)起攻擊解決方案：
使用設(shè)備指紋校驗(yàn)和行為分析。
2. 限流閾值靜態(tài)設(shè)置的災(zāi)難
場(chǎng)景：設(shè)置固定5000QPS閾值問題：大促時(shí)正常流量超閾值被誤殺優(yōu)化方案：
// 動(dòng)態(tài)閾值調(diào)整算法
public class DynamicThreshold {
// 基于歷史流量自動(dòng)調(diào)整
public static int calculateThreshold(String api) {
// 1. 獲取上周同時(shí)段流量
double base = getHistoricalQps(api);
// 2. 考慮當(dāng)日增長(zhǎng)系數(shù)
double growth = getGrowthFactor();
// 3. 保留20%安全余量
return (int)(base * growth * 0.8);
}
}3. 忽略帶寬成本
教訓(xùn)：10Gbps流量攻擊導(dǎo)致月度預(yù)算超支200%應(yīng)對(duì)策略：
- 前置CDN吸收靜態(tài)流量
- 配置云廠商DDoS防護(hù)服務(wù)
- 設(shè)置帶寬自動(dòng)熔斷機(jī)制
真正的防御不是讓攻擊無法發(fā)生，而是讓攻擊者付出十倍代價(jià)卻一無所獲。當(dāng)你的防御成本低于對(duì)手的攻擊成本時(shí)，戰(zhàn)爭(zhēng)就結(jié)束了。
責(zé)任編輯：武曉燕
來源：
蘇三說技術(shù)
