你好，我是田哥
昨天，一位朋友面试，被面试官问：接口被恶意请求，该如何处理？
这个问题相对比较开放，如果确实不太清楚，自己可以假象如果你的接口被恶意攻击你会怎么办，讲清楚自己的思路就行（前提是不能瞎说，得有点道理，逻辑说得通）。
在实际项目中，对于这类的问题解决方案有很多种，下面给你整理了9种。
- 防火墙：配置防火墙规则，限制对API接口的访问频率和来源IP，防止大量无效请求。
- 验证码：在需要保护的接口中添加验证码验证，要求用户在访问前先进行验证码验证，以确认其为真实用户。
- IP限制：限制对API接口的访问仅限于特定IP范围，例如只允许内网或特定合作伙伴的IP访问。
- 接口访问频率限制：设置访问频率限制，例如每分钟/每小时/每天只允许一定次数的请求，超出限制则返回错误信息或封禁IP。
- 用户身份认证和授权：要求用户在访问API接口前进行身份认证，并根据用户的权限进行授权，只允许有权限的用户访问特定接口。
- 日志监控：监控API接口的访问日志，及时发现异常请求，例如某个IP频繁请求同一接口，及时采取相应的安全措施。
- 安全加密：对敏感数据进行加密传输，使用HTTPS协议保证数据传输的安全性。
- 使用API网关：在API接口和客户端之间引入API网关，对请求进行过滤、鉴权、限流等操作，保护后端API接口的安全。
- 人工干预：定期检查API接口的访问情况，及时发现异常行为，进行人工干预处理。
总之，针对恶意刷接口的情况，可以通过限制访问频率、添加验证码、IP限制、用户身份认证和授权等手段来增强接口的安全性。
这9种解决方案足以应付面试官了，但很多人还是想看看到底如何实现。
下面给你三种方案实现防刷的具体实现：
- IP限制
- 日志监控
- 设置访问频率限制。
IP限制防刷
在Spring Boot项目中，可以通过使用拦截器或者过滤器来实现对IP的限制。下面是具体的实现步骤：
- 创建一个拦截器类或者过滤器类，实现HandlerInterceptor接口或者Filter接口。
- 在拦截器类或者过滤器类的实现中，获取请求的IP地址。
- 配置需要限制的IP地址列表，可以将这些IP地址存储在一个配置文件中，或者直接在代码中定义一个列表。
- 在拦截器类或者过滤器类的实现中，判断请求的IP地址是否在限制的IP地址列表中，如果在列表中则继续处理请求，否则返回一个错误信息或者拒绝请求。
- 在Spring Boot项目的配置类中，将拦截器或者过滤器注册到应用程序中。
下面是一个使用拦截器实现IP限制的示例代码：
代码语言：javascript复制public class IPInterceptor implements HandlerInterceptor {
private static final List<String> ALLOWED_IPS = Arrays.asList("127.0.0.1", "192.168.0.1");
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
String ipAddress = request.getRemoteAddr();
if (ALLOWED_IPS.contains(ipAddress)) {
response.setStatus(HttpServletResponse.SC_FORBIDDEN);
response.getWriter().write("Access denied");
return false;
}
return true;
}
}
在Spring Boot项目的配置类中注册拦截器：
代码语言：javascript复制@Configuration
public class WebConfig implements WebMvcConfigurer {
@Override
public void addInterceptors(InterceptorRegistry registry) {
registry.addInterceptor(new IPInterceptor());
}
}
上述示例中，ALLOWED_IPS列表中包含了不允许访问的IP地址，如果请求的IP地址在列表中，则返回"Access denied"错误信息，并且设置响应的状态码为403（Forbidden）。
同样的，你也可以使用过滤器来实现IP限制，过滤器的实现方式类似，只是需要实现Filter接口并重写doFilter方法。
请注意，上述示例仅提供了一种简单的IP限制方式，如果需要更复杂的限制策略，可以考虑使用第三方库或者框架，如Spring Security等。
注意：这里的IP，我们写死放java代码里了，实际项目中，我们可能会配置在配置文件中、或专门用一张表来存储，然后把表里的数据缓存到Redis中，每次请求就直接从redis获取即可，放在redis中可以减轻数据库压力以及提醒AIP接口性能。
另外，上面的IP是对不能访问的做限制，如果我们的系统是对某些特定的用户使用，那这个IP列表我们可以配置成能访问的IP，非IP列表中的IP仅限访问时，我们可以对其仅限限制。
日志监控
要实现对API接口的日志监控，可以按照以下步骤进行：
- 引入日志框架：在Spring Boot项目中，一般使用slf4j作为日志框架，可以在项目的pom.xml文件中添加相关依赖。
- 配置日志输出：在项目的配置文件（如application.properties或application.yml）中，配置日志输出的格式、级别等相关信息。
- 编写请求拦截器：通过编写请求拦截器，在API接口被调用时记录相关日志信息。可以在拦截器中获取请求的URL、参数、请求方法等信息，并将其记录到日志中。
- 使用AOP进行日志记录：可以通过使用Spring AOP，在API接口被调用时记录日志。在AOP切面中，可以定义前置通知、后置通知等，根据需要在相应的通知中进行日志记录。
- 配置日志存储：可以将日志存储到数据库、文件或其他日志存储介质中。可以使用相关的日志存储框架（如logback、log4j等）进行配置。
- 异常处理：在API接口被恶意刷的情况下，可能会产生大量异常请求。可以通过编写全局异常处理器，对异常请求进行统一处理，并记录相关日志信息。
- 监控与分析：可以使用日志分析工具（如ELK、Splunk等）对日志进行实时监控和分析，以便及时发现异常请求。
需要注意的是，在实施日志监控时，应遵循相关法律法规，确保个人隐私和数据安全。
设置访问频率限制
在Spring Boot中，可以使用拦截器（Interceptor）或过滤器（Filter）来实现API接口的访问频率限制。下面分别介绍这两种实现方式。
- 使用拦截器（Interceptor）实现访问频率限制：
首先，创建一个拦截器类，实现HandlerInterceptor接口，并重写preHandle方法。在preHandle方法中，可以对请求进行限制判断。
代码语言：javascript复制public class RateLimitInterceptor implements HandlerInterceptor {
private final RateLimiter rateLimiter;
public RateLimitInterceptor(RateLimiter rateLimiter) {
this.rateLimiter = rateLimiter;
}
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
// 获取请求IP地址
String ipAddress = request.getRemoteAddr();
// 检查IP地址是否超过限制
if (!rateLimiter.tryAcquire(ipAddress)) {
response.setStatus(HttpStatus.TOO_MANY_REQUESTS.value());
response.getWriter().write("Too many requests");
return false;
}
return true;
}
}
然后，在配置类中注册拦截器：
代码语言：javascript复制@Configuration
public class WebConfig implements WebMvcConfigurer {
private final RateLimiter rateLimiter;
public WebConfig(RateLimiter rateLimiter) {
this.rateLimiter = rateLimiter;
}
@Override
public void addInterceptors(InterceptorRegistry registry) {
registry.addInterceptor(new RateLimitInterceptor(rateLimiter));
}
}
- 使用过滤器（Filter）实现访问频率限制：
首先，创建一个过滤器类，实现javax.servlet.Filter接口，并重写doFilter方法。在doFilter方法中，可以对请求进行限制判断。
代码语言：javascript复制public class RateLimitFilter implements Filter {
private final RateLimiter rateLimiter;
public RateLimitFilter(RateLimiter rateLimiter) {
this.rateLimiter = rateLimiter;
}
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
HttpServletRequest httpRequest = (HttpServletRequest) request;
HttpServletResponse httpResponse = (HttpServletResponse) response;
// 获取请求IP地址
String ipAddress = httpRequest.getRemoteAddr();
// 检查IP地址是否超过限制
if (!rateLimiter.tryAcquire(ipAddress)) {
httpResponse.setStatus(HttpStatus.TOO_MANY_REQUESTS.value());
httpResponse.getWriter().write("Too many requests");
return;
}
chain.doFilter(request, response);
}
}
然后，在配置类中注册过滤器：
代码语言：javascript复制@Configuration
public class WebConfig {
private final RateLimiter rateLimiter;
public WebConfig(RateLimiter rateLimiter) {
this.rateLimiter = rateLimiter;
}
@Bean
public FilterRegistrationBean<RateLimitFilter> rateLimitFilter() {
FilterRegistrationBean<RateLimitFilter> registrationBean = new FilterRegistrationBean<>();
registrationBean.setFilter(new RateLimitFilter(rateLimiter));
registrationBean.addUrlPatterns("/api/*"); // 设置过滤的URL路径
return registrationBean;
}
}
在上述代码中，RateLimiter是一个自定义的限流器，可以根据具体需求选择合适的实现方式，例如使用Guava的RateLimiter或使用计数器等，也可以使用Redis来实现这个技术功能。
需要注意的是，以上代码只是实现了基本的访问频率限制，对于恶意刷接口的情况，还可以进一步加强安全性，例如使用令牌桶算法、持久化存储IP地址等。
好了，以上便是今天给大家分享的接口被恶意请求的一些限制方式。
都看完了，点个赞咯，Thanks♪(･ω･)ﾉ
文章推荐
ThreadLocal 的原理及问题，一网打尽！
星球更新日志【20231128】
程序员如何把【知识体系化】
物联网项目：充电桩项目实战~
全程面试辅导，田哥保驾护航！
