您的位置：首页 > 新闻中心 > 社会 > 正文

蓝精灵

Nginx limit_req 限流：几行配置挡住大部分CC攻击_我的网站

鲁豫有约

A |

　　六届全明星德罗赞以一年390万美元底薪加盟丹佛掘金后，掘金随队记者Harrison Wind在节目中称赞了这笔操作。

B |

　    一键部署OpenClaw        服务器CPU莫名飙高，带宽跑满，看日志全是同一个IP一秒打来几十个请求——这不是业务火了，是被CC了。扛CC的第一道闸门不在代码里，在Nginx的限流模块里，配置成本几乎为零。他认为，德罗赞的加入将直接解决球队替补席进攻乏力的问题。    limit_req的原理是漏桶：你设定一个速率，超速的请求直接返回503或延迟排队。

    　　Wind表示：“我之前对球队的替补席真是捏了一把汗，他们毫无得分能力。但现在，他们拥有了德罗赞。先用limit_req_zone定义一个计数区，再在location里挂上limit_req，两步完事。

# nginx.conf 的 http 块里定义限流区

# 以客户端IP为key，10MB内存可存约16万个IP状态 # rate=10r/s 表示平均每秒最多放行10个请求 limit_req_zone $binary_remote_addr zone=req_per_ip:10m rate=10r/s; # server 或 location 块里应用 server { location / { limit_req zone=req_per_ip burst=20 nodelay; proxy_pass http://127.0.0.1:8080; } } burst=20是缓冲队列长度，配合nodelay表示突发20个请求立即处理、不排队，超出就直接拒。

C | 这是一笔很棒的运作。虽然我讨厌球队放走沃特森的决定，但得到德罗赞对掘金来说非常关键。德罗赞可以充当第二阵容的领袖，他的加盟能帮球队做很多事情。

D | 想对登录、搜索这类昂贵接口管得更严，单独再定义一个rate=2r/s的zone挂上去就行，互不影响。

# 对登录接口单独限流：每秒2个，突发5个
limit_req_zone $binary_remote_addr zone=login_limit:10m rate=2r/s;
 
location /login.php {
 limit_req zone=login_limit burst=5 nodelay;
 # 被限流的请求返回429而不是默认503
 limit_req_status 429;
 fastcgi_pass 127.0.0.1:9000;
}

验证很简单：reload之后用ab压一下，ab -n 200 -c 20 https://你的域名/，看返回里有没有429或503；同时tail -f日志确认正常用户没被误伤。限流阈值别拍脑袋定，先统计自己站点的正常峰值，设成峰值的两倍左右再逐步收紧。限流是防守，如果卡死自己人就本末倒置了。数据来源：nginx.org官方文档 ngx_http_limit_req_module 模块说明

申请创业报道，分享创业好点子。”

　　德罗赞上赛季场均贡献18.4分、2.9个篮板和4.1次助攻，保持了稳定的得分效率。

E | 点击此处，共同探讨创业新机遇！。掘金今夏流失了沃特森（4年8800万先签后换加盟骑士），替补阵容深度受到削弱。德罗赞的加盟被外界视为一次精准的补强，他不仅能在约基奇下场时承担持球进攻任务，也为掘金在季后赛中提供了除穆雷之外的第二位经验丰富的关键球处理者。

　　德罗赞此前在国王队的合同原为2570万美元，但在被裁后以老将底薪加盟掘金，这也使他成为掘金历史上签约过的最具资历的自由球员之一。