SpringBoot 接口防抖实战：防重复提交的高级方案

作为一名摸爬滚打八年的 Java 开发。我敢说：线上 % 的 “数据错乱” 故障，都和接口重复提交有关。上周大促，使用者疯狂点击下单按钮，导致同一订单被创建了 次；去年支付接口被爬虫高频调用。直接产生了双倍扣款 —— 这些血淋淋的案例告诉我们：接口防抖不是 “可选功能”，而是 “必做防护”。

很多人觉得 “防重复提交不就是前端按钮禁用吗？”—— 太天真了，爬虫、Postman 直接调用、网络延迟重发，这些场景前端防护形同虚设。今天就从实战出发，分享种 SpringBoot 接口防抖的高级方案，覆盖单机、分布式、高并发等所有场景。每一种都附可直接复制的代码和八年踩坑让你解决掉 “手抖党” 和 “恶意刷接口” 的烦恼。

一、先分清：防抖 vs 防重？别再混淆了，

在讲方案前。先澄清两个高频混淆的概念：

• 接口防抖 ：阻止短时间内重复触发同一接口，主要是 “限制触发频率”；
• 接口防重 ：保证同一请求多次执行结果一致，主要是 “结果唯一性”。

这篇文章的方案是 “防抖 + 防重” 结合 —— 既阻止高频重复调用。又保证即使调用多次也不会出问题，真正做到 “双重防护”。

二、种高级方案：从单机到分布式，覆盖所有场景

方案 ：基于 Redis+Lua 脚本

主要原理

利用 Redis 的原子性 + Lua 脚本。给接口加 “限时锁”：同一请求标识在指定时间内只能执行一次超过时间自动释放锁。

为什么用 Lua？

Redis 单条命令是原子的，但多条命令组合会有并发问题。Lua 脚本能把多步操作打包成原子执行，避免 “竞态条件”—— 这是分布式防重的关键。

实战代码

1. 先定义防抖注解

import java.lang.annotation.*;import java.util.concurrent.TimeUnit;@Target
@Retention
@Documented
public @interface AntiDuplicateSubmit {
long timeout default 1;// 防抖时间
TimeUnit unit default TimeUnit.SECONDS;老实说，// 时间单位
String message default "操作过于频繁。请稍后再试，";}

2. LUA 脚本在 resources/lua/anti_duplicate_submit.lua 创建脚本：

-- 接收参数：key=请求标识；timeout=过期时间
local key = KEYS
local timeout = ARGV
if redis.call == 1 n
return 1 -- 重复提交
else
redis.call
return 0 -- 正常提交
end

3. AOP 切面

import jakarta.annotation.Resource;老实说，import jakarta.servlet.http.HttpServletRequest;import lombok.extern.slf4j.Slf4j;import org.aspectj.lang.ProceedingJoinPoint;import org.aspectj.lang.annotation.Around;按理说，import org.aspectj.lang.annotation.Aspect;import org.aspectj.lang.reflect.MethodSignature;import org.springframework.core.io.ClassPathResource;import org.springframework.data.redis.core.StringRedisTemplate;import org.springframework.data.redis.core.script.DefaultRedisScript;不过，import org.springframework.stereotype.Component;import org.springframework.util.DigestUtils;怎么说呢，import java.lang.reflect.Method;怎么说呢，import java.nio.charset.StandardCharsets;import java.util.Collections;@Aspect
@Component
@Slf4j
public class AntiDuplicateSubmitAspect {
@Resource
private StringRedisTemplate stringRedisTemplate;不过，private final DefaultRedisScript antiDuplicateScript;说起来，public AntiDuplicateSubmitAspect {
antiDuplicateScript = new DefaultRedisScript<>;antiDuplicateScript.setLocation);antiDuplicateScript.setResultType;}
@Around")
public Object around throws Throwable {
MethodSignature signature = joinPoint.getSignature;其实，Method method = signature.getMethod;AntiDuplicateSubmit annotation = method.getAnnotation;String requestKey = generateRequestKey;
long timeout = annotation.unit.toSeconds);Long result = stringRedisTemplate.execute(
antiDuplicateScript。Collections.singletonList,String.valueOf
);if {
log.warn;throw new RuntimeException);}
try {
return joinPoint.proceed;} finally {
// 可选：非幂等接口执行完手动释放锁
// stringRedisTemplate.delete;}
}
private String generateRequestKey {
String userId = "anonymous";// 替换为真实使用者标识
String methodName = method.getDeclaringClass.getName + "." + method.getName;String paramDigest = DigestUtils.md5DigestAsHex(
= null?joinPoint.getArgs.toString : "")
.getBytes);return "anti_duplicate:" + userId + ":" + methodName + ":" + paramDigest;}
}

4. 接口使用

@RestController
public class OrderController {
@AntiDuplicateSubmit
@PostMapping
public String createOrder {
// 下单逻辑省略
return "下单成功，订单号：" + System.currentTimeMillis;}
}

八年踩坑提示

• 过期时间别设太短：网络延迟可能导致正常请求被误判；怎么说呢，别设太长：使用者正常重试会被拦截。
• 请求标识必须包含“使用者 ID”：否则不同使用者调用同一接口会被误判为重复。
• 非幂等接口建议执行完手动释放锁：避免正常流程结束后还占用锁。
• 若业务允许幂等，可让 Redis 自动过期即可。
• Caffeine 本地缓存仅适合单机部署，多实例请勿使用。其实，
• LUA 脚本必须完整且无语法错误。否则会返回 nil 并导致错误判断。
• LUA 脚本返回值要与 AOP 对照，否则可能误报或漏报。不过，
• AOP 切面要放置在 Spring 容器中。以便正确拦截目标方法，

再看适用场景。

- 分布式程序，高并发场景，如电商大促、支付、预订等主要业务；- 支持幂等与非幂等两类业务；- 与 Token 或 Caffeine 混合使用提供更安全或更高效组合。

方案 ：基于 Token 令牌

主要原理

前端请求业务接口前先向服务端申请“唯一令牌”，服务端生成令牌存入 Redis；前端携带该令牌调用业务 API 时服务器验证其存在后执行，并立即删除。以确保每个令牌只能使用一次从而彻底消除“恶意刷 API”的风险。话说回来，

为什么安全？

LUA 与 Redis 保证令牌存取原子性。而浏览器无法伪造未获取到令牌的数据包，即使攻击者抓包，也无法在没有有效令牌时 发送相同请求。

实战代码

1. Lua 脚本已包含在上一节中，可复用该脚本完成 token 检测与删除；若想独立实现，可 为如下简易脚本：
2. redis.call -- 删除 token 并返回是否成功 return redis.call == 1 and 0 or 1

• Token 获取 API ：

@RestController
class TokenController {
@Resource
private lateinit var stringRedisTemplate: StringRedisTemplate
@GetMapping
fun getAntiDuplicateToken: String {
val token ="anti_duplicate_token:" + UUID.randomUUID
.toString.replace
stringRedisTemplate.opsForValue
.set)
return token
}
}

• Token 校验切面 ：

private void validateToken{
if){
throw new RuntimeException;}
Boolean deleted=stringRedisTemplate.delete;if{
throw new RuntimeException;}
}

// 在around方法中加入： String token=request.getHeader;老实说，validateToken;// 若失败则抛异常终止处理。

• 前端调用流程 ：

fetch
.n)
.n(token=>{
fetch('/api/order/create'。{method:'POST',headers:{'Content-Type':'application/json','Anti-Duplicate-Token':token},body:JSON.stringify});})，

八年踩坑提示

• Token 超时时间要合理设置；太短容易让 UX 卡顿，话说回来，太长则浪费内存资源。其实，通常建议 =10 分钟左右，根据业务流量决定。怎么说呢，
• 若出现 Token 已失效提示。应让 UI 自动重新获取并 尝试，而不是简单报错给使用者。可通过统一异常处理返回专属错误码，让前端做自动补偿逻辑。.

方案 ：基于 Caffeine 本地缓存 `

`

---

---