当前位置：首页 > news >正文

基于Redis实现短信防轰炸的Java解决方案

news 来源：原创 2025/6/8 17:56:27

基于Redis实现短信防轰炸的Java解决方案

前言

在当今互联网应用中，短信验证码已成为身份验证的重要手段。然而，这也带来了"短信轰炸"的安全风险 - 恶意用户利用程序自动化发送大量短信请求，导致用户被骚扰和企业短信成本激增。本文将详细介绍如何使用Java和Redis实现高效的短信防轰炸解决方案。

一、短信轰炸的危害

用户骚扰：用户手机被大量无用短信淹没
资源浪费：企业需要为每条短信支付费用
系统压力：短信接口被大量无效请求占用
安全风险：可能被用作其他攻击的辅助手段

二、解决方案核心思路

1. 频率限制

限制同一手机号在单位时间内的发送次数

2. 冷却时间

发送短信后设置冷却期，期间不允许再次发送

3. IP限制

限制同一IP地址的请求频率

4. 验证码校验

确保验证码正确性后再允许发送新验证码

三、Redis的优势

高性能：内存数据库，响应速度快
原子操作：支持原子性增减和过期设置
持久化：数据可持久化到磁盘
分布式：支持集群部署
丰富的数据结构：支持字符串、哈希、集合等

四、完整Java实现

1. Redis配置

public class RedisConfig {
    @Bean
    public JedisPool jedisPool() {
        JedisPoolConfig poolConfig = new JedisPoolConfig();
        poolConfig.setMaxTotal(128);
        return new JedisPool(poolConfig, "redis-host", 6379);
    }
}

2. 短信服务核心类

@Service
public class SmsService {
    
    private static final int PHONE_LIMIT = 3; // 1分钟内最多3次
    private static final int IP_LIMIT = 100; // 1小时内最多100次
    private static final int COOLDOWN = 60; // 60秒冷却时间
    
    @Autowired
    private JedisPool jedisPool;
    
    public SmsResponse sendCode(String phone, String ip) {
        try (Jedis jedis = jedisPool.getResource()) {
            // IP限制检查
            if (!checkIpLimit(jedis, ip)) {
                return SmsResponse.fail("IP请求过于频繁");
            }
            
            // 手机号频率检查
            if (!checkPhoneLimit(jedis, phone)) {
                return SmsResponse.fail("操作过于频繁");
            }
            
            // 冷却时间检查
            if (!checkCooldown(jedis, phone)) {
                return SmsResponse.fail("请等待60秒后再试");
            }
            
            String code = generateCode();
            
            // 存储验证码，5分钟有效期
            jedis.setex(key(phone, "code"), 300, code);
            // 设置冷却时间
            jedis.setex(key(phone, "cooldown"), COOLDOWN, "1");
            
            // 实际发送短信
            sendRealSms(phone, code);
            
            return SmsResponse.success();
        }
    }
    
    private boolean checkIpLimit(Jedis jedis, String ip) {
        String key = key(ip, "ip-limit");
        Long count = jedis.incr(key);
        if (count == 1) {
            jedis.expire(key, 3600);
        }
        return count <= IP_LIMIT;
    }
    
    // 其他辅助方法...
}

3. 使用Lua脚本保证原子性

private boolean checkPhoneLimit(Jedis jedis, String phone) {
    String script = "local current = redis.call('incr', KEYS[1])\n" +
                   "if current == 1 then\n" +
                   "    redis.call('expire', KEYS[1], ARGV[1])\n" +
                   "end\n" +
                   "return current <= tonumber(ARGV[2])";
    
    String key = key(phone, "phone-limit");
    Object result = jedis.eval(script, 1, key, "60", String.valueOf(PHONE_LIMIT));
    return (Long) result == 1;
}