前言
一年一度的“双11”结束了，截止11月12日零点，天猫GMV定格在5403亿元，再次位居榜首。
其实像这种购物场景，本质上叫秒杀。秒杀什么特点？量少、折扣大、稀缺，因此这种价值势必会吸引一群大聪明来用特殊手段抢购：
比如借助这种物理外挂抢购：
我肯定单身20多年的人手速都比不过它。（别问我为什么知道，我一个朋友说的，他说中国人不骗中国人）
比如通过第三方外挂，按时准点帮忙触发App内的抢购按钮的。
还有抓取并分析抢购接口，通过程序来模拟抢购过程的。
不光是双11，比如你过年抢火车票啊，抢周杰伦演唱会的票，还有去年抢茅台，肯定也有一些人这么就是干的，低买高卖，你不要有人要。
那这种行为有什么影响呢?
首先，这会破坏公平的抢购环境，让正常买家觉得不爽：明明我是手点的，你给我搞这些花里胡哨的不讲武德是吧？
其次，如果他们频繁尝试还会让整个后台系统受到不同程度的性能损耗，此时这就属于一种黑客行为了。
接下来我就说一下程序员应该如何"反击"，包含两部分：
- 如何防止他们利用非法途径比别人快，此时我们一般利用风控去做。
- 如何防止他们一直频繁请求，此时我们会有很多防刷措施。
风控
刚才说了，有些人他是在活动后再搞那些小聪明的，但其实进来的流量我们都无法将其定义为非法流量，这个只能借助像风控这种多维度校验，才能将其识别出来，除非它跳步骤。
什么是风控？其实就是针对某个用户，在不同的业务场景下，检查用户画像中的某些数据，是否触碰了红线。
一个用户画像的基础要素包括手机号、设备号、身份、IP、地址等。一些延展的信息还包括信贷记录、购物记录、履信记录、工作信息、社保信息等等。
这些数据的收集，仅仅依靠单平台是无法做到的，这也是为什么风控的建立需要多平台、广业务、深覆盖，因为只有这样，才能够尽可能多地拿到用户数据。
像阿里腾讯这种大厂，其涵盖非常多的业务线与业务场景，正因为有这些大量数据的支撑，其风控才可能做得更好。
但对于小公司来说，建立一个风控系统是非常困难且不切实际的。但话又回来了，小公司可能也不会太在意谁下单快，先保证流量再说吧。
防刷
限流
我们可以利用一些简单的限流措施，比如Nginx限流：1秒内只允许你请求一次。这种方式可以有效解决黑产流量对单个接口的高频请求。
关于限流内容较多，我会在之后单独出一篇文章详细讲解。
Token机制
Token 我想你是知道的，一般都是用来做鉴权的。放到秒杀的业务场景就是，对于有先后顺序的接口调用，我们要求进入下个接口之前，要在上个接口获得令牌，不然就认定为非法请求。同时这种方式也可以防止多端操作对数据的篡改，如果我们在 Nginx 层做 Token 的生成与校验，可以做到对业务流程主数据的无侵入。
黑名单
黑名单分为本地黑名单和集群黑名单两种，顾名思义，就是通过黑名单的方式来拦截非法请求的。
那黑名单从哪里来呢？总体来说有两个来源：
一个是从外部导入，可以是风控，也可以是别的渠道。
另一个就是自己生成自己用。前面介绍了 Nginx 有条件限流会过滤掉超过阈值的流量，但不能完全拦截，所以索性就不限流，直接全部放进来。
随后我们实现一套”逮捕机制“，可以利用缓存，比如Redis去统计 1 秒内这个用户或者 IP 的请求频率，如果达到了我们设定的阈值，我们就认定其为黑产，然后将其放入到本地缓存黑名单。
黑名单可以被所有接口共享，这样用户一旦被认定为黑产，其针对所有接口的请求，都将直接被全部拦截，实现刷子流量的 0 通过。
总结
这篇文章主要介绍了秒杀系统的黑产问题：通过外部工具、第三方软件参与抢购活动，因为其速度更快、发出请求的频率更高，使得黑产用户获得了比普通用户更大的抢购成功率，这种行为不仅严重破坏了公平的抢购环境，同时也给秒杀系统带来了巨大的额外负担。
在对抗"快人一步"的问题上，我们简单介绍了风控系统。在对抗刷子流量的问题上，我们介绍了Nginx限流、Token机制、黑名单机制。
其实一个完整的秒杀系统是非常复杂的，要考虑非常多的问题，今天介绍的也只是冰山一角。后续我会持续输出干货，介绍更多关于秒杀的核心问题和具体解决方案。
最后
如果感觉这篇文章对你有帮助，欢迎点赞评论，也欢迎大家关注我的公众号：沐晨聊编程。
我是沐晨，咱们下期见。