Nginx——限流配置

最新推荐文章于 2025-10-12 23:14:34 发布
原创 最新推荐文章于 2025-10-12 23:14:34 发布 · 5.5k 阅读 · 36 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#nginx #运维 #限流

文章详细介绍了Nginx如何通过limit_req_zone、limit_conn_zone模块实现限流，包括正常限流、处理突发流量、设置白名单，以及针对连接数、上传/下载速率的控制方法。还探讨了动态限速和proxy_limit_rate的使用。

目录

1、概述

限流（Rate Limitting）是服务降级的一种方式，通过限制系统的输入和输出流量以达到保护系统的目的。比如我们的网站暴露在公网环境中，除了用户的正常访问，网络爬虫、恶意攻击或者大促等突发流量都可能都会对系统造成压力，如果这种压力超出了服务器的处理能力，会造成响应过慢甚至系统崩溃的问题。因此，当并发请求数过大时，我们通过限制一部分请求（比如限制同一IP的频繁请求）来保证服务器可以正确响应另一部分的请求。

nginx 提供了两种限流方式，一种是限制请求速率，一种是限制连接数量。

另外还提供了对下载/上传速度的限制。

2、限制请求速率

nginx 的 ngx_http_limit_req_module 模块提供限制请求处理速率的能力，使用了漏桶算法（leaky bucket algorithm）。我们可以想像有一只上面进水、下面匀速出水的桶，如果桶里面有水，那刚进去的水就要存在桶里等下面的水流完之后才会流出，如果进水的速度大于水流出的速度，桶里的水就会满，这时水就不会进到桶里，而是直接从桶的上面溢出。对应到处理网络请求，水代表从客户端来的请求，而桶代表一个队列，请求在该队列中依据先进先出（FIFO）算法等待被处理。漏的水代表请求离开缓冲区并被服务器处理，溢出代表了请求被丢弃并且永不被服务。

在这里插入图片描述

2.1、正常限流

nginx 中有两个主要的指令可以用来配置限流：limit_req_zone 和 limit_req。

下面是一个最简单的限流的例子：

limit_req_zone $binary_remote_addr zone=test:10m rate=2r/s;

server {
    location / {
        limit_req zone=test;
    }
}

imit_req_zone 用于设置限流和共享内存区域的参数，格式为：limit_req_zone key zone rate。

  • key：定义限流对象，$binary_remote_addr 是 nginx 中的变量，表示基于 remote_addr(客户端IP) 来做限流，binary_ 是二进制存储。使用 $binary_remote_addr 而不是 $remote_addr 是因为二进制存储可以压缩内存占用量。 $remote_addr 变量的大小从7到15个字节不等，而 $binary_remote_addr变量的大小对于 IPv4 始终为4个字节，对于 IPv6 地址则为16个字节。
  • zone：定义共享内存区来存储访问信息，访问信息包括每个 IP 地址状态和访问受限请求 URL 的频率等。zone 的定义又分为两个部分：由 zone= 关键字标识的区域名称，以及冒号后面的区域大小。test:10m 表示一个大小为10M，名字为 test 的内存区域。1M 能存储16000个 IP 地址的访问信息，test 大概可以存储约160000个地址。nginx 创建新记录的时候，会移除前60秒内没有被使用的记录，如果释放的空间还是存储不了新的记录，会返回503的状态码。
  • rate：设置最大的访问速率。rate=2r/s（为了好模拟，rate 设置的值比较小），表示每秒最多处理 2个请求。事实上 nginx 是以毫秒为粒度追踪请求的，rate=2r/s 实际上是每500毫秒1个请求，也就是说，上一个请求完成后，如果500毫秒内还有请求到达，这些请求会被拒绝（默认返回503，如果想修改返回值，可以设置limit_req_status）。

limit_req_zone 只是设置限流参数，如果要生效的话，必须和 limit_req 配合使用。limit_req 的格式为：limit_req zone=name [burst=number] [nodelay]。

上面的例子只简单指定了 zone=test，表示使用 test 这个区域的配置，在请求 html 文件时进行限流。我们可以理解为这个桶目前没有任何储存水滴的能力，到达的所有不能立即漏出的请求都会被拒绝。如果我1秒内发送了10次请求，其中前500毫秒1次，后500毫秒9次，那么只有前500毫秒的请求和后500毫秒的第一次请求会响应，其余请求都会被拒绝。

在这里插入图片描述

2.2、处理突发流量

上面的配置保证了 nginx 以固定的速度提供服务（2r/s），但是这种情况不适用于有突发流量的情况，我们希望可以尽可能的缓存请求并处理它们，此时需要在 limit_req 上增加 burst 参数：

limit_req_zone $binary_remote_addr zone=test:10m rate=2r/s;

server {
    location / {
        limit_req zone=test burst=5;
    }
}

burst 表示在超过设定的访问速率后能额外处理的请求数。当 rate=2r/s 时，表示每500ms 可以处理一个请求。burst=5时，如果同时有10个请求到达，nginx 会处理第1个请求，剩余9个请求中，会有5个被放入队列，剩余的4个请求会直接被拒绝。然后每隔500ms从队列中获取一个请求进行处理，此时如果后面继续有请求进来，如果队列中的请求数目超过了5，会被拒绝，不足5的时候会添加到队列中进行等待。我们可以理解为现在的桶可以存5滴水：

在这里插入图片描述

配置 burst 之后，虽然同时到达的请求不会全部被拒绝，但是仍需要等待500ms 一次的处理时间，放入桶中的第5个请求需要等待500ms * 4的时间才能被处理，更长的等待时间意味着用户的流失，在许多场景下，这个等待时间是不可接受的。此时我们需要增加 nodelay 参数，和 burst 配合使用。

limit_req_zone $binary_remote_addr zone=test:10m rate=2r/s;

server {
    location / {
        limit_req zone=test burst=5 nodelay;
    }
}

nodelay 表示不延迟。设置 nodelay 后，第一个到达的请求和队列中的请求会立即进行处理，不会出现等待的请求。

在这里插入图片描述

需要注意的是，虽然队列中的5个请求立即被处理了，但是队列中的位置依旧是按照500ms 的速度依次被释放的。后面的4个请求依旧是被拒绝的，长期来看并不会提高吞吐量的上限，长期吞吐量的上限是由设置的 rate 决定的。

2.3、设置白名单

如果遇到不需要限流的情况，比如测试要压测，可以通过配置白名单，取消限流的设置。白名单要用到 nginx 的 ngx_http_geo_module 和 ngx_http_map_module 模块。

geo $limit {
    default 1;
    10.0.0.0/8 0;
    192.168.0.0/24 0;
}

map $limit $limit_key {
    0 "";
    1 $binary_remote_addr;
}

limit_req_zone $limit_key zone=mylimit:10m rate=2r/s;

geo 指令可以根据 IP 创建变量 $limit。$limit 的默认值是1，如果匹配到了下面的 IP，则返回对应的值（这里返回的是0）。

之后通过 map 指令，将 $limit 的值映射为$limit_key：在白名单内的，$limit_key 为空字符串，不在白名单内的，则为 $binary_remote_addr。当limit_req_zone指令的第一个参数是一个空字符串，限制不起作用，因此白名单的 IP 地址（在10.0.0.0/8和192.168.0.0/24子网中）没有被限制，其它 IP 地址都被限制为 2r/s

2.4、limit_req重复

如果同一个 location 下配置了多条 limit_req 的指令，这些指令所定义的限制都会被使用。

geo $limit {
    default 1;
    10.0.0.0/8 0;
    192.168.0.0/24 0;
}

map $limit $limit_key {
    0 "";
    1 $binary_remote_addr;
}

limit_req_zone $limit_key zone=mylimit:10m rate=2r/s;
limit_req_zone $binary_remote_addr zone=myLimit2:10m rate=10r/s;
server {
    location ~* \.(html)$ {
        limit_req zone=mylimit burst=5 nodelay;
        limit_req zone=myLimit2 burst=5 nodelay;
    }
}

上面的例子配置了两条规则，myLimit 和 myLimit2。白名单用户虽然没有匹配到mylimit的规则，但是根据规则 mylimit2，被限制为10r/s。对于不在白名单的用户，则需要同时匹配mylimit 和 mylimit2，两者中最严格的条件 2r/s 会起作用。

3、限制连接数

nginx 的 ngx_http_limit_conn_module 模块提供限制连接数的能力，包含两个指令limit_conn_zone 和 limit_conn，格式为limit_conn_zone key zone。

limit_conn_zone $binary_remote_addr zone=perip:10m;
limit_conn_zone $server_name zone=perserver:10m;
server {
    location ~* \.(html)$ {
        limit_conn perip 10;
        limit_conn perserver 100;
    }
}

limit_conn perip 10：key 是 $binary_remote_addr，表示限制单个IP同时最多能持有10个连接。
limit_conn perserver 100： key 是 $server_name，表示虚拟主机(server) 同时能处理并发连接的总数为100。
需要注意的是：只有当 request header 被后端server处理后，这个连接才进行计数。

4、上传/下载速率限制

limit_rate主要用于限制用户和服务器之间传输的字节数，最常用的场景可能就是下载/上传限速。limit_rate并没有单独的一个模块，而是在ngx_http_core_module中，同时它的相关指令也比较少，只有limit_rate和limit_rate_after这两个指令。

4.1、limit_rate

server {
    location / {
       	limit_rate 4k;
    }
}
  • limit_rate的用法非常简单，后面跟随的rate就是具体限速的阈值
  • 注意默认的单位是bytes/s，也就是每秒传输的字节数Bytes而不是比特数bits
  • rate可以设置为变量，从而可以实现动态限速
  • 限速指令的生效范围是根据每个连接确定的，例如上面限定每个连接的速率为4k，也就是当客户端发起两个连接的时候，速率就可以变为8k

4.2、limit_rate_after

server {
    location / {
    	limit_rate_after 500k;
       	limit_rate 4k;
    }
}

limit_rate_after允许在传输了一部分数据之后再进行限速，例如上面的配置中就是传输的前500k数据不限速，500k之后再进行限速。比较常见的应用场景如分段下载限速，超过指定大小的部分再进行限速；又或者是流媒体视频网站一般为了保证用户体验而不会对第一个画面进行限速，确保其能够尽快加载出来，等用户开始观看视频之后，再把带宽限制在合理的范围内，从而降低因客户端网速过快导致提前加载过多内容带来的额外成本。

4.3、proxy_limit_rate

proxy_limit_rate的基本原理和用法与limit_rate几乎一样，唯一不同的是proxy_limit_rate是限制nginx和后端upstream服务器之间的连接速率而limit_rate限制的是nginx和客户端之间的连接速率。需要注意的是proxy_limit_rate需要开启了proxy_buffering这个指令才会生效。

#语法：
Syntax: proxy_limit_rate rate;
Default:    proxy_limit_rate 0;
Context:    http, server, location
This directive appeared in version 1.7.7.

4.4、动态限速

limit_rate的一大特点就是能够使用变量，这就意味着和map指令之类的进行组合就可以实现动态限速功能，这里只列几个简单的示范

4.4.1、基于时间动态限速

这里引入了nginx内置的一个ssi模块，这个模块有两个比较有意思的时间变量：$date_local和$date_gmt，分别对应当前时间和GMT时间

这里使用变量和map指令组合的方式，利用正则表达式匹配不同的时间段，再结合map变量将不同时间段和不同的限速对应起来。

 map $date_local $limit_rate_time {
     default 4K;
     ~(00:|01:|02:|03:|04:|05:|06:|07:).*:.* 16K;
     ~(08:|12:|13:|18:).*:.* 8K;
     ~(19:|20:|21:|22:|23:).*:.* 16K;
 }
 ​
 limit_rate $limit_rate_time
4.2、基于变量动态限速

有些服务可能会对不用的用户进行不同的限速，例如VIP用户的速度要更快一些等，例如下面可以针对不同的cookie进行限速

 map $cookie_User $limit_rate_cookie {
     gold 64K;
     silver 32K;
     copper 16K;
     iron 8K;
 }
 ​
 limit_rate $limit_rate_cookie
Java限流之 —— Nginx限流
congge
09-20 1万+
前言 在之前的篇章中，我们谈到了限流的解决方案之一，使用网关进行限流的解决方案，而在众多的网关中，Nginx作为一款高性能、轻量级的组件，也提供了强大的可以配置的限流功能，下面我们就基于Nginx看看它是如何实现限流的吧 前置环境准备 准备一个nginx的服务 为演示方便，这里直接在window下快速启动一个nginx服务 解压nginx的安装包后，进入该目录，或者通过cmd命令行窗口，直接使用下面的命令启动nginx即可: nginx.exe 或 start nginx 启动成功后，由于nginx默认
四、高并发系统限流大法——限流算法：滑动窗口算法
流楚丶格念的博客
08-20 2669
1.1 滑动窗口算法的定义滑动窗口算法是一种用于流量控制的算法，通过在时间窗口内统计请求数量来限制请求频率。与令牌桶算法不同，滑动窗口算法更关注于时间上的连续性，可以更精确地控制请求的流量。1.2 滑动窗口算法的工作机制滑动窗口算法通过维护一个固定时间长度的窗口来计算请求的数量。当窗口移动时，新的请求会被计入窗口内，而过时的请求则被移出窗口。这种机制确保了请求的平滑分布，避免了突发流量对系统的冲击。1.3 滑动窗口算法的优点精准控制：通过时间窗口的动态调整，可以精确控制请求的速率。平滑流量。
nginx的限流配置
wh柒八九的博客
08-06 4101
本文来说下nginx的限流配置 文章目录概述 概述
详解Nginx限流配置
09-29
本文以示例的形式，由浅入深讲解Nginx限流相关配置，是对简略的官方文档的积极补充，感兴趣的朋友跟随小编一起看看吧
Nginx限流配置。
Pde_7n5d的博客
10-12 230
Nginx限流是一种通过控制请求速率来保护服务器资源的机制，主要基于漏桶算法或令牌桶算法实现。漏桶算法以固定速率处理请求，超出速率的请求会被拒绝或延迟；令牌桶算法允许突发流量，但长期速率仍受限制。模块限制单位时间内的请求数。模块限制同一IP的并发连接数。模块限制同一IP的并发连接数。模块分别用于请求频率和连接数的限制。
nginx 如何做针对 ip 的限流
modelsetget的博客
07-24 1249
可以了解到如何在Nginx中实现基于IP地址的限流策略，包括配置步骤、参数解释以及如何应用和观察限流效果。
Nginx配置限流
weixin_46619605的博客
10-15 1912
Nginx配置限流。
nginx限流
不负韶华梦为马
07-05 2362
limit_req zone=req_zone; 严格依照在limti_req_zone中配置的rate来处理请求 超过rate处理能力范围的，直接drop 表现为对收到的请求无延时 limit_req zone=req_zone burst=5; 依照在limti_req_zone中配置的rate来处理请求 同时设置了一个大小为5的缓冲队列，在缓冲队列中的请求会等待慢慢处理...
四、高并发系统限流大法——分布式限流
流楚丶格念的博客
08-21 1058
然而，对于高流量场景，分布式限流可以有效分担压力，避免单点故障。Nginx+Lua 提供了一个高效的分布式限流方案，利用 Nginx 的高性能和 Lua 的灵活性，可以有效地控制请求流量。: 如果使用 Redis 进行限流，可以根据请求的 IP 地址进行一致性哈希，将不同 IP 的请求分配到不同的 Redis 节点，从而避免单个 Redis 节点的压力过大。: 当 Redis 实例出现故障或达到其最大并发处理能力时，应用层可以采用更简单的限流策略，如基于内存的计数器，以保证基本的流量控制功能。
四、高并发系统限流机制——限流算法：令牌桶算法
流楚丶格念的博客
08-06 1582
请求处理时间指系统从接收到请求到处理完成的时间，包括令牌的生成和消耗过程。此指标衡量系统响应速度。系统吞吐量指单位时间内系统能够处理的请求数量。高吞吐量表明系统能在高负载下维持良好性能。延迟指请求从提交到开始处理的时间，包括等待令牌的时间。延迟高时会影响用户体验。
源代码安装示例——Nginx安装，配置
hnlucky的博客
03-11 1385
Nginx是一个高性能的HTTP和反向代理服务器，也是一个IMAP/POP3/SMTP代理服务器。其特点包括占有内存少、并发能力强，因此在同类型的网页服务器中表现较好。Nginx由俄罗斯的程序设计师Igor Sysoev开发，并在一个BSD-like协议下发行。它不仅可以作为一个HTTP服务器进行网站的发布处理，还可以作为反向代理进行负载均衡的实现。此外，Nginx还可以作为虚拟主机，实现在一台服务器上虚拟出多个网站。中国大陆使用Nginx的网站用户包括百度、京东、新浪、网易、腾讯、淘宝等。
Nginx 限流
★匆匆★的专栏
11-04 1534
http://colobu.com/2015/10/26/nginx-limit-modules/ 电商平台营销时候，经常会碰到的大流量问题，除了做流量分流处理，可能还要做用户黑白名单、信誉分析，进而根据用户ip信誉权重做相应的流量拦截、限制流量。 Nginx自身有的请求限制模块ngx_http_limit_req_module、流量限制模块ngx_stream_limit_conn_
Nginx限流配置
小刘运维
08-09 504
limit_req和limit_conn都需要在http块中先定义对应的zone，然后才能在server或location块中使用。limit_req和limit_conn都是基于Nginx内部状态进行跟踪的，如果Nginx是集群部署，需要确保所有节点共享这些状态信息。这样配置后，Nginx就能够有效地控制服务器上的请求流量，防止过载。
nginx限流配置
热门推荐
ThinkStu的博客
10-30 10万+
限流（Rate Limitting）是服务降级的一种方式，通过限制系统的输入和输出流量以达到保护系统的目的。
nginx 限流
leone的博客
04-21 1674
nginx 限流 nginx限流算法（漏桶算法） 漏桶算法(Leaky Bucket)是网络世界中流量整形（Traffic Shaping）或速率限制（Rate Limiting）时经常使用的一种算法，它的主要目的是控制数据注入到网络的速率，平滑网络上的突发流量。漏桶算法提供了一种机制，通过它，突发流量可以被整形以便为网络提供一个稳定的流量。 漏桶可以看作是一个带有常量服务时间的单服务器队列，如果...
NGINX限流配置
weixin_39338423的博客
06-22 1985
nginx限流
Nginx配置限流，技能拉满！
luo123_123_123的博客
12-03 2149
限流（Rate Limitting）是服务降级的一种方式，通过限制系统的输入和输出流量以达到保护系统的目的。比如我们的网站暴露在公网环境中，除了用户的正常访问，网络爬虫、恶意攻击或者大促等突发流量都可能都会对系统造成压力，如果这种压力超出了服务器的处理能力，会造成响应过慢甚至系统崩溃的问题。因此，当并发请求数过大时，我们通过限制一部分请求（比如限制同一IP的频繁请求）来保证服务器可以正确响应另一部分的请求。nginx 提供了两种限流方式，一种是限制请求速率，一种是限制连接数量。
Nginx限流优化
啊啊啊啊建的博客
08-31 1322
Nginx限流优化
图解Nginx限流配置
diaoxi4950的博客
09-05 427
本文以示例的形式，由浅入深讲解Nginx限流相关配置，是对简略的官方文档的积极补充。 Nginx限流使用的是leaky bucket算法，如对算法感兴趣，可移步维基百科先行阅读。不过不了解此算法，不影响阅读本文。 空桶 我们从最简单的限流配置开始： limit_req_zone $binary_remote_addr zone=ip_limit:10m rate=10r/s; ser...
分析nginx 限流原理
最新发布
10-30
<think>首先，用户查询是关于分析Nginx代码中`ngx_http_limit_req_module`模块的限流实现原理。用户明确提到了参考站内引用，引用[1]、[2]、[3]提供了背景信息，但我必须基于这些引用并专注于模块的实现原理。 关键点从引用： - 引用[1]：模块用于限制请求处理频率，特别是来自单个IP的请求。采用漏斗算法，固定速率处理请求，推迟过多请求。 - 引用[2]：模块限制请求IP单位时间内的请求次数，使用共享内存存储信息，使用红黑树数据结构进行高效管理。 - 引用[3]：提到ngx_http_limit_conn_module模块限制连接数，但用户焦点在请求限流。 用户的问题：分析nginx代码中ngx_http_limit_req_module模块的限流实现原理。 我的回答需要： - 使用中文，因为系统指令指定了语言。 - 结构清晰，逐步解释原理。 - 遵守LaTeX语法：行内数学表达式用$...$，独立公式用$$...$$单独成段。 - 在回答中引用的段落末尾添加引用标识，如[^1]。 - 生成相关问题在末尾。 分析实现原理的步骤： 1. **模块概述**：解释模块的作用——限制请求频率基于IP或其他键值。 2. **算法基础**：使用漏斗算法（Leaky Bucket）来控制请求速率。 3. **数据结构**：使用红黑树存储键值（如IP地址）和相关计数器，在共享内存中实现多进程共享。 4. **工作流程**： - 当请求到来时，worker进程检查键值（如IP）在共享内存中。 - 更新计数器：记录请求时间和数量。 - 如果请求超出限制率，推迟或拒绝请求。 5. **关键数据结构**：如ngx_http_limit_req_ctx_t, ngx_http_limit_req_conf_t等。 6. **代码流程**：描述模块如何集成到Nginx处理阶段，如访问阶段（access phase）。 确保回答真实可靠：基于引用和标准Nginx知识。我没有具体代码访问，但可以描述通用原理。 生成相关问题：在末尾添加，基于主题。 组织回答： - 引言：简要介绍模块。 - 详细原理：分步解释。 - 结论：总结。 - §§相关问题§§：列出2-3个相关问题。 添加引用标识：在关键引用处添加[^1], [^2], etc.，基于提供的引用。 - 引用[1]：基本模块描述 - 引用[2]：数据结构和共享内存 - 引用[3]：连接限流模块，但焦点在请求限流，所以可能不直接相关；用户提到它，但问题专门针对请求限流。 用户说“上述引用仅供参考”，但我应尽可能参考它们。引用[3]是关于limit_conn，用户问题是limit_req，所以可能不直接使用。 在回答中，自然地添加引用： - 例如，当提到漏斗算法时，引用[1]。 - 当提到红黑树和共享内存时，引用[2]。 最终回答结构： 1. **模块介绍**：解释ngx_http_limit_req_module的作用。 2. **算法原理**：漏斗算法。 3. **数据结构**：红黑树和共享内存。 4. **实现细节**：如何在代码中工作。 5. **总结**。 6. **相关问题**。 </think>### Nginx ngx_http_limit_req_module 限流实现原理分析 Nginx 的 `ngx_http_limit_req_module` 模块主要用于限制请求频率，以防止恶意请求或无意的流量过载。其核心实现依赖于“漏斗算法”（Leaky Bucket Algorithm），并结合高效的数据结构（如红黑树）和共享内存机制，支持多进程环境下的并发控制。下面我逐步分析其实现原理，基于 Nginx 源码（以主流版本如 1.18+ 为例）和相关引用。 #### 1. **模块概述** `ngx_http_limit_req_module` 用于限制单位时间内请求的处理频率。通常基于键值（如客户端 IP 地址）来跟踪请求计数。例如，限制某个 IP 每秒最多 10 个请求。如果请求超出限制，模块会推迟或拒绝多余请求，类似于漏斗的“漏出”速率控制[^1]。模块在 Nginx 的访问阶段（access phase）集成，确保在处理请求前进行频率检查。 #### 2. **核心算法：漏斗算法** 限流基础是漏斗算法，该算法模拟一个“漏斗”：请求以固定速率被处理（“漏出”），如果请求到达过快，多余的请求会被暂存或丢弃。算法数学模型如下： - 设漏斗容量为 $b$（最大突发请求数），漏出速率为 $r$（每秒处理请求数）。 - 当一个请求到来时，计算当前漏斗水位（water level）： $$w = \max(0, w_{\text{prev}} + 1 - r \cdot \Delta t)$$ 其中 $w_{\text{prev}}$ 是前一次水位，$\Delta t$ 是当前请求与前一次请求的时间差（秒）。 - 如果 $w > b$，则请求被推迟或拒绝；否则，请求被处理。 在模块中，$r$ 和 $b$ 通过配置参数（如 `limit_req_zone` 和 `limit_req` 指令）定义[^1]。 #### 3. **数据结构：红黑树与共享内存** 为了实现高效的多进程共享和查询，模块使用了以下关键数据结构（基于引用[^2]）： - **红黑树（Red-Black Tree）**：用于存储键值（如 IP 地址）及其关联的请求计数器。红黑树是一种自平衡二叉搜索树，确保插入、删除和查找操作的时间复杂度为 $O(\log n)$，即使在高频请求下也能保持高效。每个节点包含： - 键值（key）：例如客户端 IP 的哈希值。 - 计数器（counter）：记录请求总数和最近请求时间。 - 水位值（water level）：用于漏斗算法的当前状态。 - **共享内存（Shared Memory）**：由于 Nginx 使用多进程模型（master 和 worker 进程），所有 worker 进程需要共享限流状态。模块通过共享内存区存储红黑树，确保所有进程能访问和更新同一数据结构。内存区由 `ngx_http_limit_req_zone` 指令初始化，例如： ```nginx http { limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s; # 定义共享区和速率 } ``` 这里，`zone=one:10m` 指定了 10MB 的共享内存区，用于存储键值[^2]。共享内存的管理通过互斥锁（mutex）实现原子操作，避免并发冲突。 #### 4. **工作流程与代码实现** 当请求到达 Nginx 时，模块在访问阶段（`ngx_http_access_phase`）触发限流检查。主要流程如下： - **步骤 1: 键值提取** worker 进程解析请求，提取键值（如 `$binary_remote_addr`，即客户端 IP）。键值被哈希后用于红黑树查找。 - **步骤 2: 红黑树操作** 进程在共享内存的红黑树中搜索该键值节点： - 如果节点不存在，创建新节点并初始化计数器（请求计数 = 1，时间戳 = 当前时间）。 - 如果节点存在，更新计数器：计算 $\Delta t$（当前时间 - 节点时间戳），应用漏斗算法更新水位 $w$。 - **步骤 3: 限流决策** - 如果 $w \leq b$（允许突发），请求被立即处理，并更新节点时间戳。 - 如果 $w > b$，请求被推迟或拒绝：模块设置 HTTP 状态码 503（Service Unavailable）或延迟处理（通过 Nginx 的延迟队列）。例如，代码中通过 `ngx_http_limit_req_handler()` 函数实现该逻辑。 - **步骤 4: 泄露处理** 为防止内存耗尽，模块定期清理过期节点（如长时间未活动的 IP）。这通过共享内存的 LRU（Least Recently Used）机制实现。 关键代码函数（简化为伪代码）： ```c static ngx_int_t ngx_http_limit_req_handler(ngx_http_request_t *r) { key = ngx_http_get_key(r); // 提取键值，如IP哈希 node = ngx_shm_rbtree_lookup(tree, key); // 红黑树查找 if (node == NULL) { node = ngx_shm_rbtree_insert(tree, key); // 插入新节点 node->count = 1; node->last_seen = ngx_time(); } else { delta_t = ngx_time() - node->last_seen; w = max(0, node->count - rate * delta_t + 1); // 漏斗水位计算 if (w > burst) { ngx_http_finalize_request(r, NGX_HTTP_SERVICE_UNAVAILABLE); // 拒绝请求 return NGX_DONE; } node->count = w; node->last_seen = ngx_time(); } return NGX_OK; // 允许请求 } ``` 在实际源码中，这些函数位于 `src/http/modules/ngx_http_limit_req_module.c` 文件，涉及结构体如 `ngx_http_limit_req_ctx_t`（模块上下文）和 `ngx_http_limit_req_conf_t`（配置结构）[^2]。 #### 5. **性能与优势** - **高效性**：红黑树确保在百万级键值下仍维持 $O(\log n)$ 性能，共享内存减少进程间通信开销。 - **灵活性**：支持自定义键值（如 URL 或用户代理），并能结合 `ngx_http_limit_conn_module`（连接限流）形成综合防护[^3]。 - **公平性**：漏斗算法平滑处理突发流量，避免“饥饿”问题。 总之，`ngx_http_limit_req_module` 通过漏斗算法和红黑树数据结构，在共享内存中实现高效、可靠的请求频率限制，适用于防御 DDoS 攻击或控制 API 调用率[^1][^2]。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值