零基础从零到一落地的PHP秒杀防止抢购机器人的庖丁解牛

零基础从零到一落地的 PHP 秒杀防机器人系统，不是堆砌高深技术，而是通过成本、验证、限流、原子性四层防御，让作弊成本远高于收益。

一、核心防御体系（四层纵深）

层级	目标	技术方案
L1：人机验证	拦截 80% 脚本	阿里云滑块验证
L2：请求限流	限制高频请求	Redis 计数器
L3：库存原子扣减	防止超卖	MySQL`UPDATE ... WHERE`
L4：异步队列	保护数据库	Laravel Queue

💡核心思想：
不追求 100% 防御，而是让机器人“得不偿失”

二、完整代码实现（Laravel 10+）

▶ 1.前端：集成阿里云滑块验证

<!-- resources/views/seckill.blade.php --><formid="seckillForm"><inputtype="hidden"name="token"id="tokenInput"><buttontype="submit">立即抢购</button></form><scriptsrc="https://g.alicdn.com/AWSC/AWSC/awsc.js"></script><script>constcaptcha=newAWSCaptcha({appkey:'YOUR_APP_KEY',// 替换为你的 AppKeysuccess:(token)=>{document.getElementById('tokenInput').value=token;document.getElementById('seckillForm').submit();},error:(code,msg)=>alert('验证失败: '+msg)});captcha.render('captcha');</script>

▶ 2.后端：控制器（L1+L2）

// app/Http/Controllers/SeckillController.phpuseIlluminate\Support\Facades\Redis;useIlluminate\Support\Facades\Http;classSeckillControllerextendsController{publicfunctionhandle(Request$request){// L1: 验证滑块 Tokenif(!$this->verifyCaptcha($request->token)){returnresponse('人机验证失败',400);}// L2: IP 限流（1秒最多3次）$ip=$request->ip();$key="seckill:rate:{$ip}";if(Redis::incr($key)>3){returnresponse('请求过于频繁',429);}Redis::expire($key,1);// L4: 推入队列SeckillJob::dispatch(auth()->id(),1);// 商品ID=1returnresponse('请求已提交，请等待结果');}privatefunctionverifyCaptcha($token){$response=Http::post('https://captcha.aliyuncs.com/',['AppKey'=>config('services.captcha.app_key'),'Token'=>$token,'Scene'=>'default','SigVersion'=>'1.0','Timestamp'=>now()->utc()->format('Y-m-d\TH:i:s\Z'),'Signature'=>$this->generateSignature($token),]);return$response->json('Code')==='Success';}privatefunctiongenerateSignature($token){// 实现阿里云签名算法（参考前文）}}

▶ 3.队列任务：原子扣库存（L3）

// app/Jobs/SeckillJob.phpuseIlluminate\Support\Facades\DB;classSeckillJobimplementsShouldQueue{publicfunctionhandle(){DB::transaction(function(){// L3: 原子扣库存$affected=DB::update("UPDATE products SET stock = stock - 1 WHERE id = ? AND stock > 0",[$this->product_id]);if($affected===0){thrownew\Exception('库存不足');}// 创建订单Order::create(['user_id'=>$this->user_id,'product_id'=>$this->product_id,'status'=>'paid']);});}}

▶ 4.配置文件

// config/services.php'captcha'=>['app_key'=>env('ALIYUN_CAPTCHA_APP_KEY'),'app_secret'=>env('ALIYUN_CAPTCHA_APP_SECRET'),],

# .env ALIYUN_CAPTCHA_APP_KEY=your_app_key ALIYUN_CAPTCHA_APP_SECRET=your_app_secret QUEUE_CONNECTION=database

三、部署与压测

▶ 1.数据库准备

-- 商品表CREATETABLEproducts(idINTPRIMARYKEY,stockINTNOTNULLCHECK(stock>=0));-- 初始化库存INSERTINTOproducts(id,stock)VALUES(1,100);

▶ 2.启动队列监听

php artisan queue:work --daemon

▶ 3.压测脚本（模拟机器人）

# stress_test.pyimportrequestsimportthreadingdefattack():for_inrange(10):try:# 无滑块 Token 的请求requests.post('http://your-site/seckill',data={'token':'fake'})except:pass# 启动 100 个线程foriinrange(100):threading.Thread(target=attack).start()

▶ 4.预期结果

攻击类型	结果
无滑块 Token	400 错误（L1 拦截）
高频请求	429 错误（L2 拦截）
合法请求	进入队列，原子扣库存（L3+L4）
库存超卖	不可能发生（L3 保证）

四、避坑指南

陷阱	破局方案
忽略时区	阿里云签名必须用 UTC 时间
队列积压	监控`queue:work`进程，自动重启
Redis 单点故障	使用 Redis Cluster 或降级为数据库计数