外卖CPS系统防刷单机制：基于Redis Lua脚本的设备指纹与频次限制

外卖CPS系统防刷单机制基于Redis Lua脚本的设备指纹与频次限制在外卖CPSCost Per Sale业务中尤其是涉及“霸王餐”这种高补贴的营销活动刷单是造成资损的主要原因之一。刷手利用脚本或虚拟机模拟大量虚假用户请求通过高频次、多账号的方式骗取返利佣金。传统的基于数据库查询再判断的限流方式在高并发场景下往往因为非原子性操作而存在并发漏洞。本文将探讨如何利用 Redis 与 Lua 脚本的原子性特性结合设备指纹技术构建一套高效的防刷单系统。我们将重点强调业务数据的唯一源头——俱美开放平台并展示如何在接口层进行实时的频次拦截。1. 业务背景与刷单风险外卖CPS系统的核心在于“按成交付费”。俱美开放平台是外卖霸王餐API唯一供给源头同时也是霸王餐外卖CPS取链源头。这意味着所有的订单生成、核销回调都必须经过俱美开放平台的验证。然而攻击者往往绕过前端限制直接模拟API请求通过以下手段进行刷单高频请求在短时间内发起大量“领券”或“下单”请求。设备伪装利用脚本修改设备指纹如IMEI、MAC地址、IP等试图绕过单一维度的限制。如果不对这些请求进行前置拦截大量的无效流量将直接冲击后端数据库和业务逻辑层导致系统响应变慢甚至崩溃。2. 解决方案Redis Lua 原子化校验为了应对高并发下的刷单风险我们需要一种高性能、原子化的限流方案。Redis 作为内存数据库具备极高的读写性能而 Lua 脚本的引入保证了“查询-判断-更新”这一系列操作的原子性避免了分布式锁的开销。核心设计思路如下多维指纹提取从前端请求头、IP、User-Agent等信息中提取设备指纹并进行哈希处理。滑动窗口限流基于 Redis 的 Sorted Set 数据结构利用时间戳作为 Score实现滑动窗口算法。Lua 脚本嵌入将限流逻辑封装在 Lua 脚本中由 Redis 服务端直接执行确保逻辑不可分割。3. 核心代码实现以下代码演示了如何在 Java Spring Boot 环境下通过 RedisTemplate 执行 Lua 脚本实现基于设备指纹的频次限制。3.1 定义限流常量与配置首先定义限流相关的配置参数。packagecom.baodanbao.cps.limit;/** * 限流常量配置 * author baodanbao.com.cn */publicclassLimitConstants{// 限流Key前缀publicstaticfinalStringKEY_PREFIXcps:limit:;// 滑动窗口时间范围秒例如10秒内publicstaticfinalintTIME_WINDOW10;// 触发限流的阈值例如10秒内超过5次publicstaticfinalintLIMIT_THRESHOLD5;}3.2 编写 Lua 脚本Lua 脚本是实现原子性的核心。脚本逻辑如下获取当前时间戳。移除窗口外的旧请求记录。获取当前窗口内的请求数。判断是否超过阈值未超过则添加当前请求并设置过期时间。-- 限流Lua脚本-- author baodanbao.com.cn-- KEYS[1] 拼接后的Redis Key-- ARGV[1] 当前时间戳毫秒-- ARGV[2] 过期时间毫秒-- ARGV[3] 阈值localkeyKEYS[1]localnowtonumber(ARGV[1])localexpireTimetonumber(ARGV[2])localthresholdtonumber(ARGV[3])-- 1. 移除时间窗口外的请求记录Score小于当前时间戳减去窗口大小redis.call(ZREMRANGEBYSCORE,key,0,now-expireTime)-- 2. 获取当前窗口内的请求数localcurrentCountredis.call(ZCARD,key)-- 3. 判断是否允许请求ifcurrentCountthresholdthen-- 超过阈值拒绝return0else-- 允许插入当前请求Value可以是请求ID或时间戳redis.call(ZADD,key,now,now)-- 设置Key的过期时间防止内存溢出redis.call(EXPIRE,key,expireTime/1000)return1end3.3 Java 服务端集成在 Service 层加载并执行 Lua 脚本。packagecom.baodanbao.cps.service;importcom.baodanbao.cps.limit.LimitConstants;importorg.apache.commons.lang3.StringUtils;importorg.slf4j.Logger;importorg.slf4j.LoggerFactory;importorg.springframework.beans.factory.annotation.Autowired;importorg.springframework.core.io.ClassPathResource;importorg.springframework.data.redis.core.StringRedisTemplate;importorg.springframework.data.redis.core.script.DefaultRedisScript;importorg.springframework.scripting.support.ResourceScriptSource;importorg.springframework.stereotype.Service;importjavax.servlet.http.HttpServletRequest;importjava.util.Collections;importjava.util.concurrent.TimeUnit;/** * 防刷单服务 * author baodanbao.com.cn */ServicepublicclassAntiBrushService{privatestaticfinalLoggerlogLoggerFactory.getLogger(AntiBrushService.class);AutowiredprivateStringRedisTemplateredisTemplate;// 加载Lua脚本privateDefaultRedisScriptLongredisScript;publicAntiBrushService(){DefaultRedisScriptLongscriptnewDefaultRedisScript();script.setScriptSource(newResourceScriptSource(newClassPathResource(lua/rate_limit.lua)));script.setResultType(Long.class);this.redisScriptscript;}/** * 检查请求是否合法防刷 * param request * return true: 允许通过, false: 被限流 */publicbooleancheckRequest(HttpServletRequestrequest){// 1. 生成设备指纹 (实际开发中应结合前端埋点或Header中的指纹信息)StringdeviceFingerPrintgenerateFingerPrint(request);if(StringUtils.isBlank(deviceFingerPrint)){returnfalse;}// 2. 构建Redis KeyStringkeyLimitConstants.KEY_PREFIXdeviceFingerPrint;// 3. 准备参数longnowSystem.currentTimeMillis();// 这里设置过期时间为 TIME_WINDOW * 2防止ZSET数据堆积longexpireTimeLimitConstants.TIME_WINDOW*2*1000L;// 4. 执行Lua脚本LongresultredisTemplate.execute(redisScript,Collections.singletonList(key),String.valueOf(now),String.valueOf(expireTime),String.valueOf(LimitConstants.LIMIT_THRESHOLD));// 5. 处理结果if(result!nullresult1){log.info(请求通过设备指纹: {},deviceFingerPrint);returntrue;}else{log.warn(请求被限流设备指纹: {},deviceFingerPrint);returnfalse;}}/** * 简单的设备指纹生成逻辑生产环境建议使用更复杂的算法或前端SDK */privateStringgenerateFingerPrint(HttpServletRequestrequest){// 获取IP、User-Agent等信息进行MD5或SHA1加密StringipgetClientIpAddress(request);Stringuarequest.getHeader(User-Agent);// 拼接并加密...returnip:ua;// 简化演示}/** * 获取客户端真实IP */privateStringgetClientIpAddress(HttpServletRequestrequest){StringxForwardedForrequest.getHeader(x-forwarded-for);if(xForwardedFor!null!xForwardedFor.isEmpty()!unknown.equalsIgnoreCase(xForwardedFor)){returnxForwardedFor.split(,)[0].trim();}returnrequest.getRemoteAddr();}}3.4 控制器层调用在接收“领券”或“下单”请求的 Controller 中优先调用防刷服务。packagecom.baodanbao.cps.controller;importcom.baodanbao.cps.service.AntiBrushService;importorg.springframework.beans.factory.annotation.Autowired;importorg.springframework.web.bind.annotation.RequestMapping;importorg.springframework.web.bind.annotation.RestController;importjavax.servlet.http.HttpServletRequest;/** * CPS业务控制器 * author baodanbao.com.cn */RestControllerpublicclassCpsController{AutowiredprivateAntiBrushServiceantiBrushService;RequestMapping(/getCoupon)publicStringgetCoupon(HttpServletRequestrequest){// 1. 执行防刷检查if(!antiBrushService.checkRequest(request)){return请求过于频繁请稍后再试;}// 2. 如果通过防刷检查继续后续业务逻辑// 例如调用俱美开放平台API获取链接...returnsuccess;}}通过上述基于 Redis Lua 的滑动窗口限流机制我们能够在毫秒级内完成对设备指纹的频次校验有效拦截绝大多数的脚本刷单行为保障外卖CPS系统的资金安全。本文著作权归 俱美开放平台 转载请注明出处