从一次‘羊毛党’攻击复盘：我是如何用Redis+Spring AOP给API接口穿上‘防弹衣’的

从一次‘羊毛党’攻击复盘我是如何用RedisSpring AOP给API接口穿上‘防弹衣’的去年双十一大促期间我们上线了一个新用户注册送优惠券的活动。凌晨刚过监控系统突然报警——接口请求量在10分钟内暴涨了500倍。登录日志显示大量请求来自同一个IP段使用虚拟手机号批量注册短短半小时就薅走了价值数十万的优惠券。这次事件让我深刻意识到没有绝对安全的系统只有不断升级的防御。1. 攻击事件深度剖析羊毛党的作案手法通过日志分析和流量回溯我们还原了攻击者的完整操作链条工具准备阶段使用接码平台获取大量虚拟手机号每个号码成本不到0.1元自研多线程请求工具支持自动更换IP和UserAgent提前破解了我们的图形验证码采用开源的OCR识别库攻击执行阶段# 攻击者伪代码示例 def batch_register(): while True: phone get_virtual_phone() # 从接码平台获取号码 captcha crack_captcha() # 自动识别验证码 coupon_code request_coupon(phone, captcha) if coupon_code: save_to_database(phone, coupon_code)漏洞利用点未做设备指纹识别验证码可被机器识别优惠券发放无频率限制新用户判定仅依赖手机号事后统计攻击者使用200个云服务器实例通过IP轮询方式最终成功注册了8.7万个虚假账号。2. 防御体系设计四层安全防护网2.1 基础防护层HTTPSTLS1.3首先升级传输层安全协议# Nginx配置示例 ssl_protocols TLSv1.3; ssl_ciphers TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256; ssl_prefer_server_ciphers on;性能对比测试协议版本平均握手时间抗中间人攻击兼容性TLS1.2300ms中等100%TLS1.3150ms强92%2.2 访问控制层动态令牌机制设计带时效性的访问令牌// Token生成逻辑 public String generateToken(String deviceId) { String rawToken UUID.randomUUID().toString(); String timestamp String.valueOf(System.currentTimeMillis()); return redisTemplate.opsForValue().set( token: rawToken, deviceId | timestamp, 5, // 5分钟过期 TimeUnit.MINUTES ); }令牌验证流程客户端携带token访问接口服务端从Redis查询token记录校验token存在且未过期解析出设备ID和时间戳更新token过期时间滑动窗口2.3 行为防护层多维度风控规则在Redis中实现实时计数器// 风控计数器Lua脚本 String luaScript local current redis.call(incr, KEYS[1])\n if current 1 then\n redis.call(expire, KEYS[1], ARGV[1])\n end\n return current; ListString keys Collections.singletonList(risk: ip : apiPath); Object result redisTemplate.execute( new DefaultRedisScript(luaScript, Long.class), keys, 60 // 60秒窗口 );风控规则矩阵维度阈值处置措施IP接口50次/分钟临时封禁30分钟设备ID接口20次/分钟要求人脸验证账号接口10次/分钟触发二次短信验证2.4 数据防护层参数指纹校验采用BloomFilter防止重放攻击// 布隆过滤器初始化 Bean public BloomFilterString requestBloomFilter() { return BloomFilter.create( Funnels.stringFunnel(Charset.defaultCharset()), 1000000, // 预期元素数量 0.001 // 误判率 ); } // 请求指纹生成 public String generateRequestFingerprint(HttpServletRequest request) { String params getSortedParams(request); // 参数排序后拼接 String path request.getRequestURI(); return DigestUtils.md5Hex(path | params); }3. Spring AOP实现方案注解式安全切面3.1 定义安全注解Target(ElementType.METHOD) Retention(RetentionPolicy.RUNTIME) public interface ApiSecurity { SecurityLevel level() default SecurityLevel.NORMAL; enum SecurityLevel { NORMAL, // 基础校验 STRICT, // 增强校验 SENSITIVE // 敏感操作 } }3.2 切面核心逻辑Aspect Component public class SecurityAspect { Around(annotation(apiSecurity)) public Object checkSecurity(ProceedingJoinPoint joinPoint, ApiSecurity apiSecurity) { // 1. 获取当前请求上下文 HttpServletRequest request ((ServletRequestAttributes) RequestContextHolder.getRequestAttributes()).getRequest(); // 2. 执行令牌校验 checkToken(request); // 3. 根据注解级别执行不同校验 switch(apiSecurity.level()) { case STRICT: checkDeviceFingerprint(request); checkBehaviorPattern(request); break; case SENSITIVE: performSecondaryAuth(request); break; } // 4. 执行目标方法 return joinPoint.proceed(); } }3.3 Redis交互优化采用Pipeline批量操作提升性能public boolean validateTokenBatch(ListString tokens) { return redisTemplate.executePipelined((RedisCallbackBoolean) connection - { for (String token : tokens) { connection.get((token: token).getBytes()); } return null; }).stream().allMatch(Objects::nonNull); }性能测试数据操作方式100次查询耗时QPS单次请求1200ms83Pipeline85ms1176Lua脚本65ms15384. 实战优化从理论到落地的关键细节4.1 灰度发布策略采用双Redis集群方案旧集群运行原有鉴权逻辑新集群运行新的安全规则通过Nginx流量切分逐步验证# 灰度发布配置 split_clients $remote_addr $security_version { 10% v2; * v1; } location /api { if ($security_version v2) { proxy_pass http://new_security_cluster; } proxy_pass http://old_cluster; }4.2 熔断降级方案配置Hystrix fallback机制HystrixCommand( fallbackMethod securityCheckFallback, commandProperties { HystrixProperty(nameexecution.isolation.thread.timeoutInMilliseconds, value500) } ) public boolean performSecurityCheck(HttpServletRequest request) { // 安全检查逻辑 } public boolean securityCheckFallback(HttpServletRequest request) { log.warn(Security check timeout, apply basic validation); return checkBasicToken(request); // 降级为基本校验 }4.3 监控看板搭建使用PrometheusGranfa实现实时监控// 计数器指标定义 Bean public Counter securityCheckCounter(MeterRegistry registry) { return Counter.builder(api.security.checks) .tag(type, total) .register(registry); } // 切面中记录指标 Around(annotation(apiSecurity)) public Object checkSecurity(ProceedingJoinPoint joinPoint) { securityCheckCounter.increment(); // ... }关键监控指标接口请求QPS/异常率Redis查询延迟/P99风控规则触发频率令牌失效原因分布经过三个月的持续迭代我们的防御系统成功拦截了17次大规模自动化攻击其中包含8次优惠券批量领取尝试5次撞库攻击4次虚假注册行为最惊险的一次发生在凌晨3点攻击者使用新型的IP池轮换技术但在我们的设备指纹识别行为分析组合拳下最终2000次请求仅成功3次均为误判。这次事件让我明白安全防护不是一次性工程而是攻防双方的持续博弈。