springboot对某个接口进行次数限制，防刷。简易版。demo。

一般的项目 如果没有做防刷 容易被人爆接口 或者就是说没有做token防刷过滤。

容易被人用正常的token刷接口。有些token非一次性。

用户登录之后生成token会有一个过期时间，但一般没有做频率检查，每访问一次，会延长这个token时间，刷新用户状态

另一种就是养号，拿着真实的token，哪怕你是5分钟 1分钟。

很多的网站找回密码的接口是没有做防刷的，只是检查token是否正常。

通过验证码认证当前用户，是否为当前用户。

前几天，就用多线程刷过一个三方网站的找回密码。成功改掉密码。

一般的网站在改密码的接口都会先查一次此号码是否已经注册，相反就可以通过这个接口猜出真实的用户手机号，

然后多线程调这个接口猜验证码，一般为4位，复杂点的为6位。也会有一些项目加了图形拖拽(第三方)

前端会提交相关信息给第三方平台，分析你是不是正常的用户动作，直接封IP。

但是用户体验差一点，有些网站为了用户体验，忽略了网站安全性，看业务上的取舍了。

进入正题：简易版(demo)

　　aop 实现 ：

package com.zhouixi.serviceA.aspect;
import java.lang.reflect.Method;
import java.util.Arrays;
import java.util.HashMap;
import java.util.Map;
import javax.servlet.http.HttpServletRequest;
import javax.swing.text.Keymap;
import org.aspectj.lang.ProceedingJoinPoint;
import org.aspectj.lang.annotation.Around;
import org.aspectj.lang.annotation.Aspect;
import org.aspectj.lang.annotation.Pointcut;
import org.aspectj.lang.reflect.MethodSignature;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.core.annotation.Order;
import org.springframework.stereotype.Component;
import org.springframework.web.context.request.RequestContextHolder;
import org.springframework.web.context.request.ServletRequestAttributes;
import com.zhouixi.serviceA.annotation.LimitKey;
@Component
@Order
@Aspect
public class LimitAspect {
private Map limitMap = new HashMap();


private static final Logger log = LoggerFactory.getLogger(LimitAspect.class);
@Pointcut("@annotation(limitKey)")
public void limit(LimitKey limitKey) {
}
@Around("limit(limitKey)")
public Object aroundLog(ProceedingJoinPoint joinpoint,LimitKey limitKey) throws Throwable {
MethodSignature methodSignature = (MethodSignature) joinpoint.getSignature();
int frequency = limitKey.frequency();
String methodName = limitKey.methodName();
String paramKey = limitKey.paramKey();
String url = limitKey.url();
//入参
String[] parameterNames = methodSignature.getParameterNames();
Object[] args = joinpoint.getArgs();
Object obj = null ;

for(int i = 0 ; i if(parameterNames[i].equals(paramKey)) {
obj = args[i];
break;
}
}

System.err.println("args : "+Arrays.toString(args));
System.err.println("keys : "+Arrays.toString(parameterNames));

StringBuffer sb = new StringBuffer();
sb.append(url).append("/_").append(methodName).append("_").append(paramKey).append("_").append(obj).append("_key");
if(limitMap.get(sb.toString()) == null ) {
limitMap.put(sb.toString(),frequency-1);
} else {

int l = (int) limitMap.get(sb.toString());
if(l > 0){
limitMap.put(sb.toString(), --l);
} else {
throw new Exception ("系统繁忙，请重试");
}
}
//reids 代替map redis.set(sb.toString(),frequency,limitKey.timeout());
System.err.println("剩余次数："+limitMap.get(sb.toString())+"----->----->----->自定义key:"+sb.toString());
return joinpoint.proceed();
}
}

controller：

     注解声明：

　　效果图：

最后一次：

postman:

完成。真实生产场景要换成redis 其他nosql