1. 为什么API限流是SpringBoot项目的必备能力在分布式系统架构中API限流就像城市交通的信号灯控制系统。我经历过一个真实案例某电商促销活动期间由于未做限流保护瞬时流量激增导致核心下单接口崩溃直接损失数百万订单。这正是SpringBoot项目必须集成限流策略的根本原因。API限流本质上是通过预设规则控制请求流量主要解决三类典型问题系统过载防护防止突发流量击穿服务如秒杀场景资源公平分配避免少数客户端独占服务资源阶梯式降级在系统压力过大时有序拒绝非核心请求2. 主流限流算法选型与实践2.1 令牌桶算法实现令牌桶是生产环境最常用的限流算法其核心原理类似于游乐园门票发放系统。我们通过Guava RateLimiter实现// 每秒生成10个令牌 RateLimiter limiter RateLimiter.create(10.0); // 非阻塞获取令牌 if(limiter.tryAcquire()) { // 执行业务逻辑 } else { throw new RateLimitExceededException(); }关键参数说明burstCapacity桶容量默认permitsPerSecondwarmupPeriod预热时间应对冷启动问题实际踩坑经验突发流量场景建议设置桶容量2*QPS避免正常波动被误限流2.2 漏桶算法对比漏桶算法更强调流量整形适合需要恒定输出速率的场景。Alibaba Sentinel的匀速排队模式就是典型实现FlowRule rule new FlowRule() .setResource(queryOrder) .setGrade(RuleConstant.FLOW_GRADE_QPS) .setCount(20) .setControlBehavior(RuleConstant.CONTROL_BEHAVIOR_RATE_LIMITER);两种算法对比决策表特性令牌桶漏桶流量特征允许突发流量严格恒定速率实现复杂度低较高适用场景大部分常规限流场景支付、对账等强顺序业务典型实现Guava RateLimiterSentinel匀速排队延迟保证最佳效果严格保证3. SpringBoot集成生产级限流方案3.1 注解式限流实现通过自定义注解实现声明式限流这是最优雅的集成方式Retention(RetentionPolicy.RUNTIME) Target(ElementType.METHOD) public interface RateLimit { String key() default ; int limit() default 10; int expire() default 60; }切面实现核心逻辑Aspect Component public class RateLimitAspect { private final RedisTemplateString, Integer redisTemplate; Around(annotation(rateLimit)) public Object around(ProceedingJoinPoint joinPoint, RateLimit rateLimit) throws Throwable { String key rateLimit.key(); if(StringUtils.isEmpty(key)){ key joinPoint.getSignature().toLongString(); } int count redisTemplate.opsForValue().increment(key, 1); if (count 1) { redisTemplate.expire(key, rateLimit.expire(), TimeUnit.SECONDS); } if (count rateLimit.limit()) { throw new RuntimeException(触发限流); } return joinPoint.proceed(); } }3.2 分布式限流方案单机限流在集群环境下会失效必须引入RedisLua实现分布式限流-- ratelimiter.lua local key KEYS[1] local limit tonumber(ARGV[1]) local expire tonumber(ARGV[2]) local current tonumber(redis.call(get, key) or 0) if current 1 limit then return 0 else redis.call(INCRBY, key, 1) if current 0 then redis.call(EXPIRE, key, expire) end return 1 endSpringBoot调用示例public boolean tryAcquire(String key, int limit, int expire) { DefaultRedisScriptLong script new DefaultRedisScript(); script.setScriptSource(new ResourceScriptSource( new ClassPathResource(ratelimiter.lua))); script.setResultType(Long.class); return redisTemplate.execute(script, Collections.singletonList(key), String.valueOf(limit), String.valueOf(expire)) 1; }4. 高级限流策略与实战技巧4.1 动态规则配置通过Nacos实现限流规则热更新RefreshScope Configuration public class RateLimitConfig { Value(${rate.limit.order:20}) private int orderLimit; Bean public FlowRule orderFlowRule() { return new FlowRule(createOrder) .setCount(orderLimit) .setGrade(RuleConstant.FLOW_GRADE_QPS); } }4.2 分级降级策略结合Sentinel的降级规则实现智能限流DegradeRule rule new DegradeRule() .setResource(queryProduct) .setGrade(RuleConstant.DEGRADE_GRADE_EXCEPTION_RATIO) .setCount(0.5) // 异常比例阈值 .setTimeWindow(10); // 熔断时长(s)4.3 限流维度设计多维度限流策略组合示例维度实现方式适用场景用户IDuserId接口名作为Redis key防止单个用户过度调用IP地址IP接口名限流防御恶意IP攻击业务参数如根据店铺ID限流保护特定业务单元接口分级核心接口设置更高阈值保障关键业务可用性时间窗口不同时段设置不同限流规则应对业务高峰5. 生产环境避坑指南5.1 性能优化要点Redis管道化批量执行限流计数命令redisTemplate.executePipelined((RedisCallback?) connection - { for (String key : keys) { connection.stringCommands().incr(key.getBytes()); } return null; });本地缓存使用Caffeine做二级缓存减少Redis压力LoadingCacheString, Integer localCache Caffeine.newBuilder() .expireAfterWrite(1, TimeUnit.SECONDS) .build(key - redisTemplate.opsForValue().get(key));5.2 监控与告警配置推荐监控指标限流触发QPS请求拒绝率限流规则生效状态Prometheus配置示例- pattern: spring_web_rate_limit_seconds_max name: rate_limit_metrics labels: resource: $1 result: $25.3 常见故障排查限流不生效检查清单规则是否加载到内存Sentinel dashboardRedis连接是否正常切面执行顺序是否正确Order注解Redis高延迟应对方案使用Redis集群分散压力增加本地限流作为第一道防线降级为内存限流模式限流阈值计算经验公式单机阈值 0.8 * (容器最大QPS / 实例数) 集群阈值 单机阈值 * 实例数 * 0.7我在金融级系统中验证过的限流策略组合Nginx层基础限流 应用层动态规则 熔断降级这种三级防护体系可以应对百万级QPS场景。特别注意在网关层就要拦截异常流量避免穿透到应用层消耗资源。