http {
    # 定義共享內(nèi)存區(qū)（50MB可存儲(chǔ)約100萬(wàn)IP）
    lua_shared_dict ip_blacklist 50m;
    # 初始化腳本（加載Lua模塊）
    init_by_lua_block {
        -- 初始化Redis連接
        local redis = require "resty.redis"
        red = redis:new()
        red:set_timeout(1000)  -- 1秒超時(shí)
    }
    server {
        listen 80;
        # 黑名單檢查入口
        access_by_lua_file /etc/nginx/lua/ip_blacklist.lua;
        location / {
            proxy_pass http://backend;
        }
    }
}

local function load_blacklist()
    local red = ngx.shared.ip_blacklist
    local last_update = red:get("last_update") or 0
    -- 每60秒更新一次（避免頻繁請(qǐng)求Redis）
    if ngx.now() - last_update > 60 then
        local redis_conn = require "resty.redis":new()
        local ok, err = redis_conn:connect("redis-host", 6379)
        if not ok then
            ngx.log(ngx.ERR, "Redis連接失敗: ", err)
            return
        end
        -- 從Redis獲取最新黑名單
        local black_ips, err = redis_conn:smembers("ip_blacklist")
        if not black_ips then
            ngx.log(ngx.ERR, "獲取黑名單失敗: ", err)
            return
        end
        -- 清空舊數(shù)據(jù)
        red:flush_all()
        -- 寫入新數(shù)據(jù)
        for _, ip in ipairs(black_ips) do
            red:set(ip, true)  -- IP作為key存儲(chǔ)
        end
        -- 記錄更新時(shí)間
        red:set("last_update", ngx.now())
        redis_conn:close()
    end
end
-- 主執(zhí)行邏輯
local client_ip = ngx.var.remote_addr
local blacklist = ngx.shared.ip_blacklist
-- 檢查是否在黑名單
if blacklist:get(client_ip) then
    ngx.log(ngx.WARN, "攔截黑名單IP: ", client_ip)
    return ngx.exit(403)  -- 返回禁止訪問(wèn)
end
-- 異步更新黑名單（不阻塞請(qǐng)求）
ngx.timer.at(0, load_blacklist)

# 添加IP到黑名單
> SADD ip_blacklist 192.168.1.100
# 從黑名單移除
> SREM ip_blacklist 192.168.1.100
# 查看所有黑名單IP
> SMEMBERS ip_blacklist

-- 在Lua腳本中添加本地緩存
local local_cache = {}
local function is_blacklisted(ip)
    -- 第一層：Lua本地緩存
    if local_cache[ip] ~= nil then
        return local_cache[ip]
    end
    -- 第二層：共享內(nèi)存
    local val = ngx.shared.ip_blacklist:get(ip)
    local_cache[ip] = val  -- 緩存結(jié)果
    return val
end

-- 只同步變更的IP（減少數(shù)據(jù)傳輸）
local changes = redis_conn:get("ip_blacklist_changes")
if changes then
    for ip, action in pairs(cjson.decode(changes)) do
        if action == "add" then
            ngx.shared.ip_blacklist:set(ip, true)
        else
            ngx.shared.ip_blacklist:delete(ip)
        end
    end
end

-- 在Nginx日志分析后自動(dòng)封禁
location /log_analyzer {
    content_by_lua_block {
        local log_parser = require "log_parser"
        local attackers = log_parser.detect_attackers()
        for ip, count in pairs(attackers) do
            if count > 100 then  -- 1分鐘內(nèi)100次請(qǐng)求
                local redis = require "resty.redis":new()
                redis:sadd("ip_blacklist", ip)
            end
        end
    }
}

# 通過(guò)Nginx配置分批次更新
map $remote_addr $update_flag {
    default         0;
    "192.168.1.1"   1;   # 管理員IP
    "10.0.0.0/8"    1;   # 內(nèi)網(wǎng)IP
}
server {
    access_by_lua_block {
        if ngx.var.update_flag == "1" then
            load_blacklist()  -- 強(qiáng)制更新
        end
    }
}

# Prometheus監(jiān)控指標(biāo)
nginx_http_lua_blacklist_size{type="ip"} 1024
nginx_http_lua_blocked_requests_total 53289

# 調(diào)整共享內(nèi)存淘汰策略
lua_shared_dict ip_blacklist 100m inactive=2d; # 2天未訪問(wèn)自動(dòng)清除

-- 添加故障轉(zhuǎn)移邏輯
local redis_hosts = {
    {host="redis1", port=6379},
    {host="redis2", port=6380}
}
for _, server in ipairs(redis_hosts) do
    local ok = redis_conn:connect(server.host, server.port)
    if ok then break end
end

# 優(yōu)先使用真實(shí)IP（防代理層偽造）
real_ip_header X-Forwarded-For;
set_real_ip_from 0.0.0.0/0;

-- 組合頻次控制+黑名單
local req_count = ngx.shared.req_count:incr(client_ip, 1)
if req_count > 100 then  -- 每秒100次請(qǐng)求
    ngx.shared.ip_blacklist:set(client_ip, true)
end

location /api/payment {
    access_by_lua_block {
        if ngx.shared.ip_blacklist:get(ip) then
            ngx.exit(444)  -- 靜默關(guān)閉連接
        end
    }
}

-- 結(jié)合IP地理庫(kù)
local geo = require "geoip"
local country = geo.get_country(client_ip)
if country == "CN" then  -- 允許中國(guó)IP
    -- 放行
else
    ngx.shared.ip_blacklist:set(client_ip, true)
end