4. 秒杀-防恶意用户

1.恶意行为

经过优化，系统的秒杀性能已经有了大幅提高，但系统的安全性还有待优化，需要增加一些手段防止恶意行为。
首先，在商品详情页面，使用F12，可以直接看到真实的秒杀地址。我可以直接使用工具来不断地发请求，这样等到秒杀真正开始的时候，我一定可以抢到订单，因为普通用户点击的速度，肯定不会比工具快。这就对普通用户很不公平了。

2.增加验证码

在点击秒杀时，不会直接请求真正的秒杀地址，而是请求验证码页面，只有输入正确的验证码后，才会发起真正的秒杀请求。
验证码使用了verify插件，也是从github上搜索到的一个插件。
为防止恶意用户提前请求验证码页面，在输入正确验证码后，就能窥探到真实秒杀地址，在获取验证码时后端也会校验该秒杀是否开始。这样只有秒杀开始了，才能拿到含有真正秒杀地址的页面，分析真正秒杀地址肯定比输验证码还要慢，尤其是对html js css进行加密/压缩之后，最大限度地保证了大家的公平。

/**
 * 到达验证码页面
 * @return
 */
@GetMapping("/verifyCode/{goodsId}")
public String verifyCode(@PathVariable("goodsId") int goodsId,Model model) {
    //判断秒杀是否开始，因为该页面有真实的秒杀地址，所以秒杀未开始时，不能让客户端获得真实的秒杀地址
    if(System.currentTimeMillis() < Constant.BARGAIN_DASH_START_TIME) {
        model.addAttribute("errorMsg","秒杀还未开始");
        return "error";
    }else {
        model.addAttribute("goodsId",goodsId);
        return "verifyCode";
    }
}

3.限流防刷

虽然我们通过验证码隐藏了真实的秒杀请求，但恶意用户可能会使用工具故意刷商品页面/验证码页面，消耗系统的处理能力。
我们可以自定义一个注解@AccessLimit，增加一个拦截器，对标注了该注解的方法进行拦截，利用redis的过期和自增操作，实现简单的限流功能。

@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
        throws Exception {
    if(handler instanceof HandlerMethod) {
        HandlerMethod handlerMethod = (HandlerMethod) handler;
        AccessLimit annotation = handlerMethod.getMethodAnnotation(AccessLimit.class);
        if(annotation != null) {
            int second = annotation.second();
            int times = annotation.times();
            
            //这里利用redis的过期时间+自增 来实现简单的限流判断
            String key = ((User)request.getSession().getAttribute("user")).getId()+"_"+request.getRequestURI()+"_accessTimes";
            Integer value = redisTemplate.opsForValue().get(key);
            if(value == null) {//第一次访问 OR 过期了
                redisTemplate.opsForValue().set(key, 1, second, TimeUnit.SECONDS);
            }else if(value.intValue() < times) {//有效期内访问，且未超过限制
                redisTemplate.opsForValue().increment(key, 1);
            }else {//超过限制
                request.setAttribute("errorMsg", "操作过于频繁，请稍后再试");
                request.getRequestDispatcher("/error.html").forward(request, response);
                return false;
            }
        }
    }
    return true;
}

附：所有代码在github上