nginx中基于jsessionid的限速策略

IT那活兒發(fā)布于2023-01-11 13:20 / 2710人閱讀

公司某系統(tǒng)經(jīng)常出現(xiàn)短時(shí)間內(nèi)同一用戶大量并發(fā)訪問的情況，疑似爬蟲行為，該行為經(jīng)常導(dǎo)致應(yīng)用節(jié)點(diǎn)連接超時(shí)頻發(fā)的問題。由于業(yè)務(wù)代碼層對(duì)用戶的限速和限制并發(fā)的能力有限，因此決定采用F5后添加nginx反向代理，通過nginx的limit_req_zone模塊進(jìn)行限速，通過limit_conn_zone模塊來進(jìn)行限制并發(fā)。

首先利用nginx的內(nèi)置變量$http_x_forwarded_for獲取遠(yuǎn)端的訪問IP，以該變量來進(jìn)行訪問限速。具體訪問策略如下：

▼▼▼
http {
    include mime.types;
    default_type application/octet-stream;
    ......(常規(guī)配置忽略）
    #gzip on;
    #限速策略 
    limit_req_zone $http_x_forwarded_for zone=req:100m rate=10r/m;
    limit_conn_zone $http_x_forwarded_for zone=reqconn:100m;
    upstream shsnc {
      sticky;
      server IP:PORT;
      server IP:PORT;
      server IP:PORT;
      }
    server {
       listen 80;
       ......(常規(guī)配置忽略）
        #僅對(duì)訪問頻繁的頁面加以限速，aa表示頁面URL的關(guān)鍵字段）
       location ~ .*(aa|bb).* { 
        proxy_pass http://shsnc;
        limit_req zone=reqzone burst=5;
        limit_conn reqconn 10;
      } 
}

由于用戶是通過統(tǒng)一的出口IP來訪問業(yè)務(wù)，以上配置僅對(duì)出口IP限速，無法對(duì)單個(gè)用戶訪問進(jìn)行限速，因此導(dǎo)致用戶訪問比較多時(shí)，個(gè)別用戶出現(xiàn)無法訪問業(yè)務(wù)的情況。因此，改用$http_cookie的方式來進(jìn)行限速。經(jīng)過查看，發(fā)現(xiàn)http_cookie變量中的信息量過多，格式如下所示：

▼▼▼
JSESSIONID=xxxxxxxxxxxxxxxxxxxxxxxx;
Hm_lvt_fxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx; 
BIGipxxxxxxxxxxxxxxxxxxxx=xxxxxxxxxxxxxxxxxxxxx;
route=xxxxxxxxxxxxxxxxxxxxxxxxxxx;

從上面的格式分析，使用JSESSIONID的值去進(jìn)行限速比較合理。因此，需要從http_cookie變量中截取JSESSIONID的值作為限速的依據(jù)。最終確定方案如下：

▼▼▼
http {
    include mime.types;
    default_type application/octet-stream;
    ......(常規(guī)配置忽略）
    #gzip on;
    #限速策略 
    limit_req_zone $jsvalue zone=req:100m rate=10r/m;
    limit_conn_zone $jsvalue zone=reqconn:100m;
    upstream shsnc {
      sticky;
      server IP:PORT;
      server IP:PORT;
      server IP:PORT;
      }
    server {
       listen 80;
       ......(常規(guī)配置忽略）
       #截取設(shè)置限速jsessionid字符串
        set $jsvalue "";
        if ( $http_cookie ~* "JSESSIONID=(.+?)(?=;)" ) {
           set $jsvalue $1;
        }
        #僅對(duì)訪問頻繁的頁面加以限速，aa表示頁面URL的關(guān)鍵字段）
       location ~ .*(aa|bb).* { 
        proxy_pass http://shsnc;
        limit_req zone=reqzone burst=5;
        limit_conn reqconn 10;
      } 
}