如何使用Redis Lua脚本实现滑动窗口限流_封装ZSET操作实现高精度流量控制

必须用Lua脚本实现滑动窗口限流，因其能原子执行ZREMRANGEBYSCORE清理、ZCARD统计、ZADD写入三步操作；否则高并发下因竞态条件导致超限，且需合理设计key、传入应用层时间戳、显式设置EXPIRE。

为什么不能用多个Redis命令拼接实现滑动窗口

直接在应用层调用 ZREMRANGEBYSCORE、ZCARD、ZADD 三步操作，看似逻辑清晰，但高并发下必然出错。两个请求几乎同时执行，都查到当前请求数为99，都判断“未超限”，结果一起写入，变成101次——这就是典型的竞态条件。

根本问题在于：ZSet 的清理、统计、写入不是原子的。网络延迟 + 应用层调度间隙，让并发请求有机会“插队”。哪怕加了本地锁，也只对单机有效，分布式环境完全失效。

• 固定窗口（INCR + EXPIRE）只能做到“每秒重置”，无法支持“任意1秒内”统计
• Pipeline 虽能减少往返，但不改变多命令非原子的本质，仍可能被其他客户端命令穿插
• 仅靠 ZCOUNT 不清理旧数据，内存会持续增长，最终 OOM

EVAL 脚本中必须包含的三个核心操作

Lua 脚本不是可选优化，而是滑动窗口限流的底线要求。一个可用的脚本必须一次性完成以下三件事：

• 用 ZREMRANGEBYSCORE 清理窗口外数据：范围要设为 0 到 now - window_ms，注意左闭右闭语义，避免边界时间点被重复计入两个窗口
• 用 ZCARD 获取当前窗口内请求数量：不要用 ZCOUNT 再算一次，ZCARD 更快且结果确定
• 仅当未超限时，才用 ZADD 写入新请求：score 必须是毫秒级时间戳（如 System.currentTimeMillis()），member 建议用唯一标识（如 UUID 或 req_+毫秒+随机数），避免 score 相同导致覆盖

示例关键片段：

local windowStart = now - window<br>redis.call('ZREMRANGEBYSCORE', key, 0, windowStart)<br>local current = redis.call('ZCARD', key)<br>if current < threshold then<br>  redis.call('ZADD', key, now, requestId)<br>  redis.call('EXPIRE', key, math.ceil(window / 1000) + 1)<br>  return 1<br>else<br>  return 0<br>end

key 设计与过期策略的隐性陷阱

key 不只是“随便起个名字”，它直接决定限流粒度和内存安全：

• key 名应携带业务上下文，比如 rate:login:ip:192.168.1.100 或 rate:api:/order/create:uid:12345，避免不同资源共用同一 key 导致误限
• 必须调用 EXPIRE 设置过期时间，否则空 ZSet 永远残留。过期时间建议设为 window_ms / 1000 + 1 秒，比窗口长一点，防止刚清空就过期，又因新请求触发重建
• 不要依赖 ZSET 自身“自动过期”——它不会自动删空 key，得靠 EXPIRE 显式控制生命周期

漏掉 EXPIRE 是线上最常被忽略的问题之一：ZSet 看似没数据（ZCARD 返回 0），但 key 本身还占内存，积少成多直接拖垮 Redis。

Java 中调用 Lua 脚本的最小可行封装

Spring Boot 项目里，别手写 EVAL 字符串拼接。用 DefaultRedisScript 封装一次，复用 everywhere：

• 脚本文件（sliding_window.lua）放在 resources/ 下，内容保持纯 Lua，不带 Java 变量插值
• 声明 DefaultRedisScript<Long> bean，设置 resultType 为 Long.class，因为返回值是 1 或 0
• 调用时传入 KEYS[1]（key）、ARGV[1]（当前毫秒时间戳）、ARGV[2]（窗口毫秒数）、ARGV[3]（阈值）、ARGV[4]（requestId）

关键代码片段：

redisTemplate.execute(limitScript,<br>    Collections.singletonList(key),<br>    String.valueOf(now),<br>    String.valueOf(windowMs),<br>    String.valueOf(maxCount),<br>    requestId);

注意：now 必须由应用层传入（而非 Lua 里用 redis.call("TIME")），否则各节点系统时间不一致会导致窗口漂移。

真正难的从来不是写对那几行 Lua，而是想清楚 key 怎么分、时间戳谁来提供、过期时间设多长、member 怎么防冲突——这些细节不抠准，脚本再漂亮，上线就是事故。