如何限制单个IP下载频率

为什么需要限制IP 下载频率

很多提供文件下载服务的网站，比如软件分发平台、素材库或者在线课程站，经常遇到个别用户用脚本或下载工具疯狂抓取资源。一个IP短时间内发起几百次请求，不仅占用大量带宽，还可能导致服务器变慢，普通用户打开页面都卡。这时候，限制单个IP的下载频率就成了必要手段。

通过Nginx配置实现限频

Nginx自带的 limit_req 模块可以轻松控制请求频率。在配置文件中加入以下内容，就能限制每个IP每秒只能访问一次下载接口，突发允许最多3次：

http {
    limit_req_zone $binary_remote_addr zone=download_limit:10m rate=1r/s;

    server {
        location /download/ {
            limit_req zone=download_limit burst=3 nodelay;
            alias /var/www/files/;
        }
    }
}

上面这段配置的意思是：用客户端IP作为标识，创建一个名为 download_limit 的共享内存区，限制速率为每秒1次请求。如果短时间内超过限制，后续请求会被延迟或拒绝。

使用Redis记录请求次数

对于动态网站，可以用后端代码结合Redis来实现更灵活的控制。比如用Python + Flask写个简单的中间层：

import redis
from flask import Flask, request, send_file

app = Flask(__name__)
r = redis.StrictRedis(host='localhost', port=6379, db=0)

@app.route('/dl/<filename>')
def download_file(filename):
    ip = request.remote_addr
    key = f"dl:{ip}"
    
    count = r.get(key)
    if count and int(count) > 5:
        return '下载太频繁，请稍后再试', 429
    
    r.incr(key)
    r.expire(key, 3600)  # 1小时过期
    return send_file(f'/files/{filename}')

这个例子中，每个IP每小时最多下载5次。超过就返回429状态码，提示“请求过于频繁”。实际使用时可以根据需要调整阈值和时间窗口。

CDN服务商的防护功能

如果你的资源托管在CDN上，比如阿里云、腾讯云或Cloudflare，可以直接使用它们提供的访问频率控制功能。在控制台设置规则，例如“单个IP每分钟请求下载路径超过20次就封禁5分钟”，不用自己写代码也能生效。

这类方案的好处是不占用源站资源，攻击流量在到达服务器前就被拦截。而且支持可视化监控，能看到哪些IP被触发了限流，排查起来也方便。

配合验证码做二次验证

有些场景不适合直接封IP，比如公开分享的资料链接。可以在检测到高频访问时，跳转到一个简单验证码页面。验证通过再放行下载。

这种方式对正常用户影响小，又能有效阻止自动化脚本。比如用户点开下载链接，系统发现这个IP最近请求频繁，就弹个图形验证码，填对了才开始传输文件。

日志分析辅助策略调整

定期查看服务器日志，能帮你判断当前限频策略是否合理。比如用shell命令统计访问最多的IP：

awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20

如果发现某些IP长期排在前面，可能是恶意爬虫，也可以考虑加入黑名单。反过来，如果限得太严，导致用户投诉无法下载，那就得适当放宽阈值。