Go語言實現請求頻率限制：從計數器到令牌桶的完整指南
在實際開發中，接口被惡意刷請求是常見問題。本文將深入探討Go語言中四種主流的請求限流方案，從簡單到復雜逐步深入，助你構建高可用服務。
一、基礎方案：計數器法（固定窗口）
適用場景：簡單業務、低并發需求
type CounterLimiter struct {mu sync.Mutexcount intinterval time.DurationmaxReq intlastReset time.Time
}func NewCounterLimiter(interval time.Duration, maxReq int) *CounterLimiter {return &CounterLimiter{interval: interval,maxReq: maxReq,lastReset: time.Now(),}
}func (c *CounterLimiter) Allow() bool {c.mu.Lock()defer c.mu.Unlock()// 檢查是否需要重置計數器if time.Since(c.lastReset) > c.interval {c.count = 0c.lastReset = time.Now()}// 檢查是否超過限制if c.count >= c.maxReq {return false}c.count++return true
}// HTTP中間件示例
func RateLimitMiddleware(limiter *CounterLimiter) func(http.Handler) http.Handler {return func(next http.Handler) http.Handler {return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {if !limiter.Allow() {w.Header().Set("Retry-After", "60")http.Error(w, "Too Many Requests", http.StatusTooManyRequests)return}next.ServeHTTP(w, r)})}
}
優點：
- 實現簡單，內存占用低
- 無第三方依賴
缺點：
- 窗口邊界突發流量問題
- 分布式場景不適用
二、進階方案：Redis滑動窗口
適用場景：分布式系統、精確限流
const luaScript = `
local key = KEYS[1]
local now = tonumber(ARGV[1])
local window = tonumber(ARGV[2])
local max = tonumber(ARGV[3])redis.call('ZREMRANGEBYSCORE', key, 0, now - window)
local current = redis.call('ZCARD', key)if current >= max thenreturn 0
endredis.call('ZADD', key, now, now)
redis.call('EXPIRE', key, math.ceil(window/1000))
return 1
`type RedisLimiter struct {client *redis.Clientscript *redis.ScriptmaxReq intwindow time.Duration
}func NewRedisLimiter(client *redis.Client, window time.Duration, maxReq int) *RedisLimiter {return &RedisLimiter{client: client,script: redis.NewScript(luaScript),maxReq: maxReq,window: window,}
}func (r *RedisLimiter) Allow(userID string) bool {ctx := context.Background()key := fmt.Sprintf("rate_limit:%s", userID)now := time.Now().UnixMilli()result, err := r.script.Run(ctx, r.client, []string{key}, now, r.window.Milliseconds(), r.maxReq).Int()return err == nil && result == 1
}
實現要點：
- 使用Redis有序集合存儲時間戳
- Lua腳本保證原子操作
- 自動清理過期請求
- 精確統計時間窗口內請求
優勢：
- 精確的滑動窗口計數
- 分布式系統通用
- 自動處理數據過期
三、高級方案：令牌桶算法
適用場景：允許突發流量、精細控制
type TokenBucket struct {capacity int // 桶容量tokens int // 當前令牌數fillRate time.Duration // 添加令牌間隔lastRefill time.Time // 上次添加時間mu sync.Mutex
}func NewTokenBucket(capacity int, rate time.Duration) *TokenBucket {return &TokenBucket{capacity: capacity,tokens: capacity,fillRate: rate,lastRefill: time.Now(),}
}func (b *TokenBucket) Allow() bool {b.mu.Lock()defer b.mu.Unlock()// 補充令牌now := time.Now()elapsed := now.Sub(b.lastRefill)newTokens := int(elapsed / b.fillRate)if newTokens > 0 {b.tokens += newTokensif b.tokens > b.capacity {b.tokens = b.capacity}b.lastRefill = now}// 檢查令牌是否足夠if b.tokens <= 0 {return false}b.tokens--return true
}
算法特點：
- 允許短時間內突發流量
- 精確控制平均速率
- 實現相對復雜
四、生產級方案：使用成熟中間件
推薦庫：
- Tollbooth
- Uber-go/ratelimit
Tollbooth示例：
func main() {r := chi.NewRouter()// 創建限流器：每分鐘1000次limiter := tollbooth.NewLimiter(1000/60.0, nil)limiter.SetIPLookups([]string{"X-Real-IP", "RemoteAddr", "X-Forwarded-For"})// 應用中間件r.Use(tollbooth_chi.LimitHandler(limiter))r.Get("/api/protected", func(w http.ResponseWriter, r *http.Request) {w.Write([]byte("Protected content"))})http.ListenAndServe(":8080", r)
}
五、方案選型指南
| 方案 | 實現復雜度 | 精準度 | 突發處理 | 分布式支持 |
|---|---|---|---|---|
| 計數器法 | ★☆☆☆☆ | ★★☆☆☆ | 差 | 否 |
| Redis滑動窗口 | ★★★☆☆ | ★★★★★ | 中 | 是 |
| 令牌桶算法 | ★★★★☆ | ★★★★☆ | 允許突發 | 有限 |
| 限流中間件 | ★☆☆☆☆ | ★★★★☆ | 可配置 | 是 |
六、最佳實踐
-
分層防御：
- 前端：按鈕防重復點擊
- 網關：基礎IP限流
- 業務層：用戶級精細控制
-
動態調整：
// 動態調整限流閾值 func adjustLimitBasedOnSystemLoad() {load := getSystemLoad()if load > 0.8 {limiter.SetMaxRequests(500) // 高負載時降低閾值} } -
熔斷機制：
// 使用hystrix實現熔斷 hystrix.ConfigureCommand("my_api", hystrix.CommandConfig{Timeout: 1000,MaxConcurrentRequests: 100,ErrorPercentThreshold: 50, }) -
監控指標：
- 請求拒絕率
- 系統負載
- 限流閾值命中率
- Redis內存/QPS
總結
在Go語言中實現請求限流需要根據實際場景選擇方案：
- 單機簡單場景：計數器法
- 分布式系統：Redis滑動窗口
- 允許合理突發：令牌桶算法
- 快速上線：成熟中間件
黃金法則：沒有最好的限流方案，只有最適合業務場景的方案。建議從簡單實現開始，隨著業務增長逐步升級限流策略，最終構建包含多層防御的完整限流體系。
