Nginx+Lua进行访问控制

背景

前阵子帮朋友做了个服务端,用来给他APP做一些基本的注册、付费等功能。但是他APP被盗版了,话说这盗版也是厉害,有时候注册量远远高于正版注册量,昨天盗版一天注册6000人,正版才2000人。于是乎服务器扛不住了,注册接口超时,客户端自动发起重连,又超时,又重连,如此往复,最后正常用户都没法访问了。

处理方案

要保证现有客户的能正常使用,还要限制盗版,那必须得知道盗版跟正版有啥区别了,检查过后,发现盗版应用在接口中有一个参数跟正版不一致。那当然得从参数上做限制。
两个方案:

  1. PHP接收到数据后,判断然后剔除。
  2. 使用Lua在Nginx层直接剔除

不用看,当然能在Web服务剔除最好了。为啥呢?如果在应用层提出,一样会进入PHPFPM消耗资源。

具体实施

安装Lua过程不表,可以参考https://segmentfault.com/a/1190000018641801

lua_need_request_body on;
location ~ \.php {
    access_by_lua '
        local uri = ngx.var.request_uri
        if string.find(uri,"/api/register") ~= nil then
            local body = ngx.req.get_body_data()    
            if string.find(body,"20200101") or string.find(body,"20200102") or string.find(body,"9.9.9") or string.find(body,"8.8.8") then
                ngx.exit(ngx.HTTP_NOT_FOUND)
            end
        end
    ';
    # 接着往下继续执行php,正常请求
}

这里提一个点access_by_lua用来进行访问控制,之前一直用content_by_lua_block,匹配成功以后,就不会继续执行php了。一定要用access_by_lua

网上是这么说的

access_by_lua 在请求访问阶段处理,用于访问控制,适用于 http、server、location、location if

content_by_lua 是内容处理器,接受请求并输出响应,适用于 location、location if

https://github.com/openresty/lua-nginx-module


2020年04月08日简单优化一下。随着盗版越来越多,盗版的关键字丢数组里

lua_need_request_body on;
location / {  
  access_by_lua '
    local uri = ngx.var.request_uri
    if string.find(uri,"/api/register") ~= nil then
        local body = ngx.req.get_body_data()
        local denyList = {"20200101","20200102","9.9.9","8.8.8"}
        for i = 1,#denyList do
            if string.find(body,denyList[i]) then
                ngx.header.content_type = "application/json";
                ngx.say(\'{"toast":"您正在使用盗版软件"}\');       
                ngx.exit(ngx.HTTP_OK);
            end
        end
    end
';
}  

细心的朋友会发现,上面的for循环中,i是从1开始的,没毛病,在很多语言中长度是从0开始,但是在lua里面,长度居然是从1开始。


2020年04月10日在优化一波,将所有处理失败的请求全部记录下来

在处理这个功能的时候,发现一个神奇的bug

在lua中,比如匹配8.8.8里面的居然会匹配成任意字符,也就是说,8d8c8也会被匹配成功,导致有一部分用户被误判。需要用%p来表示

将错误信息,写入文件中。

file = io.open("/tmp/lua.txt", "a")
io.output(file)
io.write(date)
io.write(body)
io.close(file)

以下是将lua脚本单独放在一个文件中的完整代码

lua_need_request_body on;
access_by_lua_file /usr/local/nginx/conf/lua.lua
local uri = ngx.var.request_uri
    if string.find(uri,"/api/register") ~= nil then
        local body = ngx.req.get_body_data()
        local denyList = {"20200101","20200102","9%p9%p9"}
        for i = 1,#denyList do
            if string.find(body,denyList[i]) ~= nil then
            local time = os.date("%Y-%m-%d %H:%M:%S")
                    local date = os.date("%Y-%m-%d")
                    local fileName = "/tmp/lua"..date..".txt"
            file = io.open(fileName, "a")
          io.output(file)
          io.write(time)
          io.write(body)
          io.write("\n")
          io.close(file)
                    ngx.header.content_type = "application/json";
          ngx.say(\'{"toast":"您正在使用盗版软件"}\');       
          ngx.exit(ngx.HTTP_OK);
            end
        end
    end

在努力的人就不丢人

罗老师昨天直播了,三个小时,抖音官方说卖了1.1个亿。人生中第一次守着看网红直播一血就奉献给了罗老师。网上有很多人在吹罗老师堕落了,我觉得并不是,不管罗老师欠了多少钱,只要他现在是在努力奋斗,在做实事,就是好的。更何况罗老师欠钱也不是花天酒地啊,都是用在锤子上。

罗老师能卖这么多,归根结底还是他这些年来沉淀下来的力量积攒在这一天爆发,他下一次直播一定不会是这样的数据。我们一个普通人去直播,也一定没有他的千万分之一的数据,原因就是没有影响力嘛。微博上看到很多人说也要去直播啥啥的。都是只见贼偷金,不见贼挨打。每一项成绩背后都有无数的努力啊。罗老师作为第一代网红,积攒的粉丝几百万,知道他的人几千万

欠钱丢不丢人得看是怎么欠的。别人给借钱给你,投资也好,借贷也好,可以说都是信任,最少是信任你的还款能力,可如果把这份信任用来花天酒地,做一些见不得光的勾当,不管最后换没换去,在我看来都不光彩。

前天我现在在的这家公司,所谓的董事长给我们开会,说建行有一笔1-10亿的授信可以给到我们的客户,但是需要我们提供客户的资金流水。董事长开心的说这个事情一旦谈成,客户一定就会来刷单,刷单我们抽点的基数就大了。听完我就觉得很反感,我挺不喜欢这种行为的。这点我觉得我跟我老婆的观点是挺像的,我们都非常不喜欢哪些作恶的人。「恶」不仅仅是说杀人放火,实际上有很多恶就在身边发生,可我们却习以为常。比如抖音上那些打着老农手工面条,实际上却是极其批量生产的三无产品。比如某搜索引擎现在还有一些特殊的推广账号,用来推广黑五类产品。比如那些搬运来搬运去的自媒体搬运工。他们都是在作恶。当然,存在即合理,就好像有人为此买单,说明市场需求存在,你不做总有人做。但我想说的是,我们自己内心要有正念,要有一些坚守。什么能做,什么不能做,自己有一杆秤。

给自己打个气

八月了,今年一整年都不是很顺利,无论是工作还是生活,最近一直都状态也不是很好。一切都是有因果的,今天的一切都是昨天的造成的,所以我也在想这些年以来,我有没有哪一步是走错了,才导致今天这样的结果。想了一下,我觉得有两点

没有认识到工作的天花板

说白了就是年少不想事。从我大学毕业的时候,三叔就一直劝我叫我做生意,不要上班打工。而我一直喜欢写代码,一直都在老老实实写代码,从来没想过未来怎么办,那时候也觉得未来很远,还有这么长时间,够我挥霍。到现在年近三十,结婚即将生子,已经没有再挥霍的资本,才发现一切都已经晚了。
那么工作的天花板在哪里呢?其实就是收入,大部分人工作就是普普通通的一份工作而已,我们不去讨论那些大企业总裁级别的,岗位收入的天花板一直都会在那里,当你走到一定高度的时候,就是需要走出来,离开这个岗位,才可能达到另一个层次。就好像在南昌,程序员一万多的工资已经差不多到天花板了。而随着年龄的增长,需要花钱的地方也越来越多,一万的收入已经完全不足以支撑日常开支。

没有在一件事上坚持做下去

是的,没有任何一件事情,我虽然这两年尝试了很多事,但是没有任何一件事情,是花了80%的力气去做的,顶多当时做kindle推送、Youtube搬运的时候花了一点心思,那是能看到实实在在的钱嘛。而我没有在其他任何一件事情上,付出同样的力气,总是在做一些以为随便花点力气就能有不错回报的尝试,却从来不够深入。

人生总是起起伏伏,也会有不同的阶段,我一直记得当年在沃尔玛的时候,当时店总东哥说过一句话,销售不好的是就做标准。现在看这句话,就是在劝我们,脚踏实地,稳扎稳打。越是在低谷的时候,越是需要打起精神,不要让自己走错一步。人生啊,坚持做对的事情,哪怕只是一个很小的选择,坚持下去,一定会让一切走入正轨。

Centos intall Redis


wget http://download.redis.io/releases/redis-5.0.5.tar.gz
tar zxvf redis-5.0.5.tar.gz
mv redis-5.0.5 /usr/local/
cd /usr/local/redis
make
make test
make install
mkdir bin
cd src/
mv mkreleasehdr.sh redis-benchmark redis-check-aof redis-check-rdb redis-cli redis-server /usr/local/redis/bin/
mkdir ../conf
mv redis.conf conf/

├── bin
    ├── dump.rdb
    ├── mkreleasehdr.sh
    ├── redis-benchmark
    ├── redis-check-aof
    ├── redis-check-rdb
    ├── redis-cli
    └── redis-server
├── BUGS
├── conf
    ├── redis.conf
├── CONTRIBUTING
├── COPYING
├── sentinel.conf
├── src
├── tests
└── utils


cd conf/
vim redis.conf 
/usr/local/redis/bin/redis-server /usr/local/redis/conf/redis.conf 

你买的那些会员,到底买的是啥?

你明白寸金难买寸光阴的道理,却不愿意花10块买下自己60分钟

这两天看到一条微博,这波是实在是要站百度,同时也很遗憾一个大学生会提出这种问题,也想起一句话任何一件你认为是常识的事情,在中国都有一亿人不知道。

我为什么会觉得遗憾?因为我觉得「付费使用更好的服务」应该是一个常识,而百度网盘免费提供存储,付费提供高速下载,是一个产品可持续良性运转下去的基本商业常识,很多人却不知道。有一个词叫「通识教育」有兴趣的朋友可以看Fenng老师这篇文章。
百度网盘微博案例中电信带宽和下载速度的关系就不说,但是想说一点,「每一个付费的产品,我们在付费之前,可以思考一下他们的商业逻辑」,这样可以快速帮你了解一些业务大致的赢利点,也能锻炼自己的商业思维。
有一个点我把它叫做「限制选择」,身边很常见。举一个极端例子,我要做一个会员服务,会员费这么收:

一个月 三个月 半年 一年
20 25 40 70

大部分一看就明白选1个月划不来,一定不会选择一个月,而企业的就是让你多付费。(千万别说25三个月企业划不来,自己思考)

这是一个很常见的销售策略。百度网盘会员、王者荣耀充值、腾讯视频会员等等,都是类似策略。
如果知道这些通识,你可能就不会被这些策略迷惑。类似的还有很多,你如果了解它们,可能会打开一个全新的角度看世界。
比如:

  1. 边际成本
  2. 边界意识
  3. 滑坡谬论
  4. 达克效应

我想说的是付费和时间
前两天跟一个朋友聊天,说到我付费加入了一些社群,对方第一反应是「你居然付费加群?对方能提供什么服务,有保证吗?如果不满意怎么举报退款」。我发现很多人完全不理解付费的逻辑,付费你买的是啥?*你买的是你自己的时间啊

  1. 腾讯视频会员减少的广告时间
  2. 得到的课程给你提高信息获取效率
  3. 社群可能帮你快速了解到特定圈子里精准的信息

这些都是给你节省下的时间,如果一项服务,你如果看不到他营收得部分,那么它大概率做不长久,更别提给你长期提供高质量的服务了。你用了一个网盘,对方不收你一分钱,你开心的把你所有照片都存上去了,第二个月公司倒闭了,网盘再也打不开了。

同时付费也是一种筛选。你加入了一个社群,群主很用心的维护社群环境,群里人来人往,每天充斥着各种广告,最后群主也没力气T人了。而付费一开始就能把无关人员筛选出去,费用越高,社群成员净值也大概率更大。付一千加入一个群的人,会在里面天天发椰子鞋999两双带抽奖的广告吗?

最后,希望大家都能更有效的利用自己的时间。作为一个只有324个粉丝的公众号,希望能对你有一点帮助。