135. 洪水控制防护flood
你的网站可能有一些很重的操作，比如给客户提供价格查询，产品数量达到了数千万，此时查询一次需要消耗很多的系统资源，如果有恶意攻击者频繁发起查询，那么系统会出现严重的性能问题，此时你需要一个进行频率限制的机制，限定一个用户在设定时间段内最多执行多少次查询；频率限制还有很多用处，比如防止用户进行大量登录尝试以猜测密码，此时应在设定时间段内错误次数达到某个阀值就拒绝登录，再比如邮件或短信的发送频率限制等等，本质上频率限制就是进行洪水控制的。
洪水控制器：
在Drupal中洪水控制器就是实现以上频率限制机制的一个工具，服务定义如下：
服务id：flood
类：Drupal\Core\Flood\DatabaseBackend
获取方法：\Drupal::flood();
用于控制一些事情在一定时间段内被执行的最大次数。在实现上该服务将事务执行记录保存到数据库中，通过分析这些记录以判断是否频率过高，数据库表为“flood”，各字段含义如下：
fid：
事件id，整数，自增，主键
event：
事件名称，字符串，最长64字符
identifier：
用户唯一标识符，字符串，最长128，用于唯一标识一个用户，通常为ip，或用户账号
timestamp：
事件发生的时间戳
expiration：
保存记录的到期时间戳，超过该时间记录会被计划任务自动清除
方法介绍：
public function register($name, $window = 3600, $identifier = NULL)
将一个需要进行频率控制的事件记录到数据库中，该事件每次执行后都应该调用该方法进行记录，这样才能分析频率，参数如下：
$name：
字符串值，事件名称，为避免冲突建议以模块名做前缀，如mymodule.my_event
$window：
本条记录有效时间长度，以秒为单位的一个整数，默认为3600（一小时），表示从当前请求时间开始计算，超过该时间段后，记录会被计划任务清理
$identifier：
用户唯一标识符，默认为null，此时采用客户端ip
public function clear($name, $identifier = NULL)
清除一条事件记录，参数含义和register方法一样
public function isAllowed($name, $threshold, $window = 3600, $identifier = NULL)
判断事件次数是否达到阀值，如果没有，返回true，表示允许事件再次发生，否则返回false，参数如下：
$name：
事件名，同register方法一样
$threshold：
一个整数，表示事件次数阀值，当大于等于该值时将返回false
$window：
一个以秒为单位的整数，默认为3600秒，表示从当前请求向前的该时间段内事件是否达到阀值，该参数虽然名字和register方法一样但含义却不相同，在该方法中表示阀值判断的时间段，而在register方法中表示记录有效期，前者应小于后者，通常采用相同的值。
$identifier：
用户唯一标识符，同register方法一样，调用时应采用相同的值
public function garbageCollection()
清理失效记录，超期时间小于当前请求时间的记录会被清理，该方法在计划任务中执行，详见系统模块的计划任务函数：system_cron()
内存型洪水控制器：
类：\Drupal\Core\Flood\MemoryBackend
这被用来在单个请求中进行洪水控制，数据记录在内存中，不能跨请求存在，接口相同
关于用户唯一标识符：
该标识符的选取应依据实际情况而定，登录用户推荐用账户id，对于匿名用户而言，通常选择ip即可，但如果你使用了固定ip的反向代理，此时需要确保该标识符为用户真实ip；现在有很多局域网用户共享相同的公网ip，你可能会想到为了进一步精确标识用户，而在标识符中加入用户代理信息（浏览器标识符），这样确实能够精确标识，但是却为攻击者提供了绕开的方法，使得洪水攻击形同虚设，这源于在HTTP协议中用户代理信息是由客户端设置的，通常攻击者使用的工具并不是浏览器，而是直接编写面向HTTP协议的程序，这样在每次请求中设置不同的代理信息就能轻易绕开频率限制，而客户端ip是由系统从TCP数据包中提取的，难以被伪造，所以相对安全。
在系统中的应用：
这被用在了登录限制中，默认一小时内密码错误达到50次，即暂时不允许登录，详见以下配置对象：
\Drupal::config('user.flood');
除此外还被用在电商模块commerce、联系表单模块contact等地方
文件型洪水控制器：
这里提供一个文件类型的洪水控制器，是多年前云客因项目需要而写，和drupal无关，是一个独立运用的类库，仅供参考：
<?php
/**
* 根据客户端ip限制用户访问频率，数据存放在文件系统中
* 默认不允许使用代理，在允许使用代理时限制可能被绕过
* by：yunke
*/
class clientAccessLimit
{
protected $defualt_option = array(
"dir" => "yunke", //储存数据的目录名
"path" => '', //储存数据的目录路径，默认网站根目录
"allowProxy" => false, //禁止代理 忽略代理服务器ip
"timeInterval" => 3600, //时间间隔 1小时
"maxlimit" => 100, //在间隔期内最大允许访问量,默认每小时只能访问100次
"cacheTime" => 172800, //限制数据保存时间 默认两天 60 * 60 * 24 * 2
);
protected $option = array();
protected $dir;
protected $iPFlag;
protected $currentTime;
/**
* 可传递选项数组以改变该类行为
*
* @param array $option
*/
public function __construct($option = array())
{
$this->defualt_option["path"] = $_SERVER['DOCUMENT_ROOT'];
$option += $this->defualt_option;
$option['path'] = rtrim($option['path'], '\\\/');
$option['dir'] = rtrim($option['dir'], '\\\/');
$dir = $option['path'] . "/" . $option['dir'];
if (!is_dir($dir)) {
@mkdir($dir, 0777, true);
}
if ($option['timeInterval'] > $option['cacheTime']) {
throw new \LogicException("间隔时间必须小于文件缓存时间");
}
$this->option = $option;
$this->dir = $dir . "/";
$this->currentTime = time();
$this->clear();
$this->getIPFlag();
}
/**
* 返回true代表需要限制，不应该继续操作，
* 返回false代表可以继续操作，不受限制
*
* @return bool
*/
public function isLimit()
{
$data = $this->getData();
if (empty($data)) {
$data = array($this->currentTime);
$this->setData($data);
return false;
}
$start_time = $this->currentTime - $this->option['timeInterval'];
$newData = array();
foreach ($data as $time) {
if ($time >= $start_time) {
$newData[] = $time;
}
}
$limit = count($newData) >= $this->option['maxlimit'] ? true : false;
if (!$limit) {
$newData[] = $this->currentTime;
}
$this->setData($newData);
return $limit;
}
/**
* 得到用户ip旗标，用作文件名
*/
protected function getIPFlag()
{
$ipFlag = "ip_" . (string)$_SERVER['REMOTE_ADDR']; //来源于tcp数据包，不易伪造
if ($this->option['allowProxy']) {
//代理地址可伪造
if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {
$ipFlag .= (string)$_SERVER['HTTP_X_FORWARDED_FOR'];
}
if (isset($_SERVER['HTTP_CLIENT_IP'])) {
$ipFlag .= (string)$_SERVER['HTTP_CLIENT_IP'];
}
}
$this->iPFlag = substr($ipFlag, 0, 255);
}
/**
* 得到用户历史访问数据
*
* @return array|mixed
*/
protected function getData()
{
$file = $this->dir . $this->iPFlag;
if (!file_exists($file)) {
return array();
}
return unserialize(file_get_contents($file));
}
/**
* 保存用户访问数据
* 访问数据为一个由历次访问时间构成的数组
*
* @param array $data
*/
protected function setData($data = array())
{
$file = $this->dir . $this->iPFlag;
$data = serialize($data);
@file_put_contents($file, $data);
}
/**
* 清理过期数据，防止无用数据堆积
*
* @return bool
*/
protected function clear()
{
$cache = $this->dir . "cache";
if (!file_exists($cache)) {
@file_put_contents($cache, $this->currentTime);
return true;
}
$lastClearTime = (int)file_get_contents($cache);
$isNeedClear = ($this->currentTime - $lastClearTime) > $this->option['cacheTime'] ? true : false;
if (!$isNeedClear) {
return true;
}
//执行过期数据清理 迭代文件
$files = scandir($this->dir);
foreach ($files as $file) {
if (strpos($file, "ip_") !== 0) {
continue;
}
$isNeedDlete = ($this->currentTime - filectime($this->dir . $file)) > $this->option['cacheTime'] ? true : false;
if ($isNeedDlete) {
unlink($this->dir . $file);
}
}
@file_put_contents($cache, $this->currentTime); //设置最后清理时间
return true;
}
}
使用：
该类仅向外提供一个公共方法：
isLimit()
返回布尔值，当为true时表示已被限制，不能继续操作