ASP.NET Core使用固定窗口限流的方法是什么

# ASP.NET Core使用固定窗口限流的方法是什么

## 引言

在高并发场景下，API接口可能会面临突发流量冲击，导致服务器资源耗尽、响应延迟甚至服务崩溃。限流（Rate Limiting）是保护系统稳定性的重要手段之一，其中**固定窗口算法**因其简单高效的特性被广泛应用。本文将详细探讨如何在ASP.NET Core中实现固定窗口限流。

---

## 一、固定窗口限流基础概念

### 1.1 什么是固定窗口限流？
固定窗口限流（Fixed Window Rate Limiting）是指在**固定时间窗口**（如1秒、1分钟）内，对请求数量进行限制。例如：
- 规则：每秒最多100次请求
- 当窗口期内请求数达到阈值，后续请求将被拒绝

### 1.2 算法特点
| 特性         | 说明                                                                 |
|--------------|----------------------------------------------------------------------|
| 简单易实现   | 只需计数器和时间窗口即可实现                                         |
| 存在临界问题 | 窗口切换时可能出现双倍流量（如第1秒最后100请求+第2秒前100请求同时到达）|

---

## 二、ASP.NET Core内置限流方案

### 2.1 .NET 7+ 原生支持
ASP.NET Core从.NET 7开始内置`RateLimiter`中间件：

```csharp
// Program.cs
builder.Services.AddRateLimiter(options => 
{
    options.AddFixedWindowLimiter("fixed", opt => 
    {
        opt.Window = TimeSpan.FromSeconds(10);
        opt.PermitLimit = 100;
        opt.QueueLimit = 10; // 可选：排队请求数
    });
});

app.UseRateLimiter();

2.2 特性标注方式

在Controller或Action上应用限流策略：

[EnableRateLimiting("fixed")]
public class ApiController : ControllerBase
{
    [HttpGet("test")]
    public IActionResult Get() => Ok("Limited API");
}

三、自定义实现固定窗口限流

3.1 基于内存的计数器实现

public class FixedWindowRateLimiter
{
    private readonly int _maxRequests;
    private readonly TimeSpan _window;
    private int _counter;
    private DateTime _windowStart;

    public FixedWindowRateLimiter(int maxRequests, TimeSpan window)
    {
        _maxRequests = maxRequests;
        _window = window;
        _windowStart = DateTime.UtcNow;
    }

    public bool TryAcquire()
    {
        lock (this)
        {
            var now = DateTime.UtcNow;
            if (now - _windowStart >= _window)
            {
                _counter = 0;
                _windowStart = now;
            }

            if (_counter >= _maxRequests)
                return false;

            _counter++;
            return true;
        }
    }
}

3.2 注册为中间件

app.Use(async (context, next) =>
{
    var limiter = context.RequestServices
        .GetRequiredService<FixedWindowRateLimiter>();
    
    if (!limiter.TryAcquire())
    {
        context.Response.StatusCode = 429;
        await context.Response.WriteAsync("Too many requests");
        return;
    }

    await next();
});

四、分布式环境解决方案

4.1 基于Redis的实现

使用StackExchange.Redis实现跨服务器计数：

public class RedisFixedWindowLimiter
{
    private readonly IDatabase _redis;
    private readonly string _key;
    private readonly int _maxRequests;
    private readonly TimeSpan _window;

    public async Task<bool> TryAcquireAsync()
    {
        var now = DateTimeOffset.UtcNow.ToUnixTimeSeconds();
        var currentWindow = now / (int)_window.TotalSeconds;
        var redisKey = $"{_key}:{currentWindow}";

        var current = await _redis.StringGetAsync(redisKey);
        if (current.HasValue && int.Parse(current) >= _maxRequests)
            return false;

        await _redis.StringIncrementAsync(redisKey);
        await _redis.KeyExpireAsync(redisKey, _window * 2);
        return true;
    }
}

4.2 性能优化建议

1. 使用Lua脚本保证原子性操作
2. 设置合理的Key过期时间
3. 考虑本地缓存+Redis的混合模式

五、实际应用案例

5.1 电商API限流配置

// 不同端点差异化限流
builder.Services.AddRateLimiter(opt => 
{
    opt.AddFixedWindowLimiter("search", opt => 
    {
        opt.Window = TimeSpan.FromSeconds(5);
        opt.PermitLimit = 300;
    });
    
    opt.AddFixedWindowLimiter("checkout", opt => 
    {
        opt.Window = TimeSpan.FromSeconds(10);
        opt.PermitLimit = 50;
    });
});

// 应用策略
app.MapGet("/search", [EnableRateLimiting("search")] () => {...});
app.MapPost("/checkout", [EnableRateLimiting("checkout")] () => {...});

5.2 监控与告警集成

// 记录被拒绝的请求
options.OnRejected = (context, _) => 
{
    var logger = context.HttpContext.RequestServices
        .GetRequiredService<ILogger<Program>>();
    logger.LogWarning("Request rejected by rate limiter");
    return new ValueTask();
};

六、对比其他限流算法

七、最佳实践建议

1. 分级限流：针对不同API重要性设置不同阈值
2. 动态调整：根据系统负载自动调整限流参数
3. 客户端提示：返回Retry-After头部告知客户端重试时间
4. 压力测试：通过JMeter等工具验证限流效果
5. 熔断机制：结合Polly等库实现系统级保护

结语

固定窗口限流作为基础限流策略，在ASP.NET Core中既可通过内置组件快速实现，也能根据业务需求深度定制。开发者应当理解其优缺点，在简单性、精确性和性能之间找到平衡点。对于更复杂的场景，建议结合滑动窗口或令牌桶算法构建多级防护体系。

扩展阅读：
- ASP.NET Core Rate Limiting官方文档
- Redis官方最佳实践 “`

注：本文实际约3400字（含代码和表格），主要包含： 1. 基础原理说明 2. 多种实现方案（内置/自定义/分布式） 3. 性能优化建议 4. 实际配置示例 5. 对比分析和最佳实践