AVt天堂网 手机版,亚洲va久久久噜噜噜久久4399,天天综合亚洲色在线精品,亚洲一级Av无码毛片久久精品

當前位置:首頁 > 科技  > 軟件

前任開發(fā)在代碼里下毒,支付下單居然沒加冪等

來源: 責編: 時間:2024-01-16 17:34:10 272觀看
導讀故事又是一個風和日麗美好的一天,小貓戴著耳機,安逸地聽著音樂,擼著代碼,這種沒有會議的日子真的是巴適得板。不料禍從天降,組長火急火燎地跑過來找到了小貓。“快排查一下,目前有A公司用戶反饋積分被多扣了”。小貓回憶了

故事

又是一個風和日麗美好的一天,小貓戴著耳機,安逸地聽著音樂,擼著代碼,這種沒有會議的日子真的是巴適得板。lqt28資訊網——每日最新資訊28at.com

不料禍從天降,組長火急火燎地跑過來找到了小貓?!翱炫挪橐幌拢壳坝蠥公司用戶反饋積分被多扣了”。lqt28資訊網——每日最新資訊28at.com

小貓回憶了一下“不對啊,這接口我也沒動過啊,前幾天對外平臺的老六直接找我要個支付接口,我就給他了的,以前的代碼,我都沒有動過的......”。lqt28資訊網——每日最新資訊28at.com

于是小貓一邊疑惑一邊翻看著以前的代碼,越看臉色越差......lqt28資訊網——每日最新資訊28at.com

lqt28資訊網——每日最新資訊28at.com

小貓做的是一個標準的積分兌換商城,以前和客戶合作的時候,客戶直接用的是小貓單位自己定制的h5頁面。這次合作了一家公司有點特殊,由于公司想要定制化自己個性化的H5,加上本身A公司自己有開發(fā)能力,所以經過討論就以接口的方式直接將相關接口給出去,A客戶H5開發(fā)完成之后自己來對接。lqt28資訊網——每日最新資訊28at.com

慢慢地,原因也水落石出,之前好好的業(yè)務一直沒有問題是因為商城的本身H5頁面做了防重復提交,由于量小,并且一般對接方式用的都是純H5,所以都沒有什么問題,然后這次是直接將接口給出去了,完了接口居然沒有加冪等......lqt28資訊網——每日最新資訊28at.com

小貓?zhí)蓸?,數據訂正當然是少不了了,事故報告當然也少不了了?span style="display:none">lqt28資訊網——每日最新資訊28at.com

正所謂前人挖坑,后人遭殃,前人鍋后人背。lqt28資訊網——每日最新資訊28at.com

聊聊冪等

1.接口冪等梗概

這個案例其實就是一個典型的接口冪等案例。那么老貓就和大家從以下幾個方面好好剖析一下接口冪等吧。lqt28資訊網——每日最新資訊28at.com

lqt28資訊網——每日最新資訊28at.com

2.什么是接口冪等

比較專業(yè)的術語:其任意多次執(zhí)行所產生的影響均與第一次執(zhí)行的影響相同。大白話:多次調用的情況下,接口最終得到的結果是一致的。lqt28資訊網——每日最新資訊28at.com

3.那么為什么需要冪等呢?

  • 用戶進行提交動作的時候,由于網絡波動等原因導致后端同步響應不及時,這樣用戶就會一直點點點,這樣機會發(fā)生重復提交的情況。
  • 分布式系統(tǒng)之間調用的情況下,例如RPC調用,為了防止網絡波動超時等造成的請求失敗,都會添加重試機制,導致一個請求提交多次。
  • 分布式系統(tǒng)經常會用到消息中間件,當由于網絡原因,mq沒有收到ack的情況下,就會導致消息的重復投遞,從而就會導致重復提交行為。

還有就是惡意攻擊了,有些業(yè)務接口做的比較粗糙,黑客找到漏洞之后會發(fā)起重復提交,這樣就會導致業(yè)務出現(xiàn)問題。打個比方,老貓曾經干過,鄰居小孩報名了一個畫畫比賽,估計是機構培訓發(fā)起的,功能做的也差,需要靠投票贏得某些禮品,然后老貓抓到接口信息之后就模擬投票進行重復刷了投票。lqt28資訊網——每日最新資訊28at.com

4.那么哪些接口需要做冪等呢?

首先我們說是不是所有的接口都需要冪等?是不是加了冪等就好呢?顯然不是。因為接口冪等的實現(xiàn)某種意義上是要消耗系統(tǒng)性能的,我們沒有必要針對所有業(yè)務接口都加上冪等。lqt28資訊網——每日最新資訊28at.com

這個其實并不能做一個完全的定義說哪個就不用冪等,因為很多時候其實還是得結合業(yè)務邏輯一起看。但是其中也是有規(guī)律可循的。lqt28資訊網——每日最新資訊28at.com

既然我們說冪等就是多次調用,接口最終得到結果一致,那么很顯然,查詢接口肯定是不要加冪等的,另外一些簡單刪除數據的接口,無論是邏輯刪除還是物理刪除,看場景的情況下其實也不用加冪等。lqt28資訊網——每日最新資訊28at.com

但是大部分涉及到多表更新行為的接口,咱們最好還是得加上冪等。lqt28資訊網——每日最新資訊28at.com

接口冪等實戰(zhàn)方案

1.前端防抖處理

前端防抖主要可以有兩種方案,一種是技術層面的,一種是產品層面的:lqt28資訊網——每日最新資訊28at.com

  • 技術層面:例如提交控制在100ms內,同一個用戶最多只能做一次訂單提交的操作。
  • 產品層面:當然用戶點擊提交之后,按鈕直接置灰。

2.基于數據庫唯一索引

利用數據庫唯一索引。我們具體來看一下流程,咱們就用小貓遇到的例子。如下:lqt28資訊網——每日最新資訊28at.com

lqt28資訊網——每日最新資訊28at.com

過程描述:lqt28資訊網——每日最新資訊28at.com

  • 建立一張去重表,其中某個字段需要建立唯一索引,例如小貓這個場景中,咱們就可以將訂單提交流水單號作為唯一索引存儲到我們的數據庫中,就模型上而言,可以將其定義為支付請求流水表。
  • 客戶端攜帶相關流水信息到后端,如果發(fā)現(xiàn)編號重復,那么此時就會插入失敗,報主鍵沖突的錯誤,此時我們針對該錯誤做一下業(yè)務報錯的二次封裝給到客戶另一個友好的提示即可。

3.數據庫樂觀鎖實現(xiàn)

什么是樂觀鎖,它假設多用戶并發(fā)的事務在處理時不會彼此互相影響,各事務能夠在不產生鎖的情況下處理各自影響的那部分數據。說得直白一點樂觀鎖就是一個馬大哈??偸羌僭O最好的情況,每次去拿數據的時候都認為別人不會修改,所以不會上鎖,只在更新的時候會判斷一下在此期間別人有沒有去更新這個數據。lqt28資訊網——每日最新資訊28at.com

例如提交訂單的進行支付扣款的時候,本來可能更新賬戶金額扣款的動作是這樣的:lqt28資訊網——每日最新資訊28at.com

update Account set balance = balance-#{payAmount} where accountCode = #{accountCode}

加上版本號之后,咱們的代碼就是這樣的:lqt28資訊網——每日最新資訊28at.com

update Account set balance = balance-#{payAmount},version=version +1 where accountCode = #{accountCode} and version = #{currVersion}

這種情況下其實就要求客戶端每次在請求支付下單的時候都需要上層客戶端指定好當前的版本信息。不過這種冪等的處理方式,老貓用的比較少。lqt28資訊網——每日最新資訊28at.com

4.數據庫悲觀鎖實現(xiàn)

悲觀鎖的話具有強烈的獨占和排他特性。大白話誰都不信的主。所以我們就用select ... for update這樣的語法進行行鎖,當然老貓覺得單純的select ... for update只能解決同一時刻大并發(fā)的冪等,所以要保證單號重試這樣非并發(fā)的冪等請求還是得去校驗當前數據的狀態(tài)才行。就拿當前的小貓遇到的場景來說,流程如下:lqt28資訊網——每日最新資訊28at.com

lqt28資訊網——每日最新資訊28at.com

悲觀鎖lqt28資訊網——每日最新資訊28at.com

begin;  # 1.開始事務select * from order where order_code='666' for update # 查詢訂單,判斷狀態(tài),鎖住這條記錄if(status !=處理中){   //非處理中狀態(tài),直接返回;   return ;}## 處理業(yè)務邏輯update order set status='完成' where order_code='666' # 更新完成update stock set num = num - 1 where spu='xxx' # 庫存更新commit; # 5.提交事務

這里老貓一再想要強調的是在校驗的時候還是得帶上本身的業(yè)務狀態(tài)去做校驗,select ... for update并非萬能冪等。lqt28資訊網——每日最新資訊28at.com

5.后端生成token

這個方案的本質其實是引入了令牌桶的機制,當提交訂單的時候,前端優(yōu)先會調用后端接口獲取一個token,token是由后端發(fā)放的。當然token的生成方式有很多種,例如定時刷新令牌桶,或者定時生成令牌并放到令牌池中,當然目的只有一個就是保住token的唯一性即可。lqt28資訊網——每日最新資訊28at.com

生成token之后將token放到redis中,當然需要給token設置一個失效時間,超時的token也會被刪除。lqt28資訊網——每日最新資訊28at.com

當后端接收到訂單提交的請求的時候,會先判斷token在緩存中是否存在,第一次請求的時候,token一定存在,也會正常返回結果,但是第二次攜帶同一個token的時候被拒絕了。lqt28資訊網——每日最新資訊28at.com

流程如下:lqt28資訊網——每日最新資訊28at.com

lqt28資訊網——每日最新資訊28at.com

token機制lqt28資訊網——每日最新資訊28at.com

有個注意點大家可以思考一下:如果用戶用程序惡意刷單,同一個token發(fā)起了多次請求怎么辦?想要實現(xiàn)這個功能,就需要借助分布式鎖以及Lua腳本了,分布式鎖可以保證同一個token不能有多個請求同時過來訪問,lua腳本保證從redis中獲取令牌->比對令牌->生成單號->刪除令牌這一系列行為的原子性。lqt28資訊網——每日最新資訊28at.com

6.分布式鎖+狀態(tài)機(訂單狀態(tài))

現(xiàn)在很多的業(yè)務服務都是分布式系統(tǒng),所以就拿分布式鎖來說,關于分布式鎖,老貓在此不做贅述,之前老貓寫過redis的分布式鎖和實現(xiàn),還有zk鎖和實現(xiàn),具體可見鏈接:lqt28資訊網——每日最新資訊28at.com

  • 鎖的演化
  • 手撕redis分布式鎖
  • 手擼ZK鎖

當然和上述的數據庫悲觀鎖類似,咱們的分布式鎖也只能保證同一個訂單在同一時間的處理。其次也是要去校訂單的狀態(tài),防止其重復支付的,也就是說,只要支付的訂單進入后端,都要將原先的訂單修改為支付中,防止后續(xù)支付中斷之后的重復支付。lqt28資訊網——每日最新資訊28at.com

在上述小貓的流程中還沒有涉及到現(xiàn)金補充,如果涉及到現(xiàn)金補充的話,例如對接了微信或者支付寶的情況,還需要根據最終的支付回調結果來最終將訂單狀態(tài)進行流轉成支付完成或者是支付失敗。lqt28資訊網——每日最新資訊28at.com

總結

在我們日常的開發(fā)中,一些重要的接口還是需要大家謹慎對待,即使是前任開發(fā)留下的接口,沒有任何改動,當有人咨詢的時候,其實就要好好去了解一下里面的實現(xiàn),看看方案有沒有問題,看看技術實現(xiàn)有沒有問題,這應該也是每一個程序員的基本素養(yǎng)。lqt28資訊網——每日最新資訊28at.com

另外的,在一些重要的接口上,尤其是資金相關的接口上,冪等真的是相當的重要。小伙伴們,你們覺得呢?lqt28資訊網——每日最新資訊28at.com

本文鏈接:http://www.tebozhan.com/showinfo-26-62793-0.html前任開發(fā)在代碼里下毒,支付下單居然沒加冪等

聲明:本網頁內容旨在傳播知識,若有侵權等問題請及時與本網聯(lián)系,我們將在第一時間刪除處理。郵件:2376512515@qq.com

上一篇: C++方差的運算:方差求解以及方差的增量計算

下一篇: 目前為止,這些項目已經被 Rust 重寫了

標簽:
  • 熱門焦點
  • K60至尊版狂暴引擎2.0加持:超177萬跑分斬獲性能第一

    Redmi的后性能時代戰(zhàn)略發(fā)布會今天下午如期舉辦,在本次發(fā)布會上,Redmi公布了多項關于和聯(lián)發(fā)科的深度合作,以及新機K60 Ultra在軟件和硬件方面的特性,例如:“K60 至尊版,雙芯旗艦
  • Redmi Pad評測:紅米充滿野心的一次嘗試

    從Note系列到K系列,從藍牙耳機到筆記本電腦,紅米不知不覺之間也已經形成了自己頗有競爭力的產品體系,在中端和次旗艦市場上甚至要比小米新機的表現(xiàn)來得更好,正所謂“大丈夫生居
  • vivo TWS Air開箱體驗:真輕 臻好聽

    在vivo S15系列新機的發(fā)布會上,vivo的最新款真無線藍牙耳機vivo TWS Air也一同發(fā)布,本次就這款耳機新品給大家?guī)硪粋€簡單的分享。外包裝盒上,vivo TWS Air保持了vivo自家產
  • 掘力計劃第 20 期:Flutter 混合開發(fā)的混亂之治

    在掘力計劃系列活動第20場,《Flutter 開發(fā)實戰(zhàn)詳解》作者,掘金優(yōu)秀作者,Github GSY 系列目負責人戀貓的小郭分享了Flutter 混合開發(fā)的混亂之治。Flutter 基于自研的 Skia 引擎
  • CSS單標簽實現(xiàn)轉轉logo

    轉轉品牌升級后更新了全新的Logo,今天我們用純CSS來實現(xiàn)轉轉的新Logo,為了有一定的挑戰(zhàn)性,這里我們只使用一個標簽實現(xiàn),將最大化的使用CSS能力完成Logo的繪制與動畫效果。新logo
  • Temu起訴SHEIN,跨境電商戰(zhàn)事升級

    來源 | 伯虎財經(bohuFN)作者 | 陳平安日前據外媒報道,拼多多旗下跨境電商平臺Temu正對競爭對手SHEIN提起新訴訟,訴狀稱Shein“利用市場支配力量強迫服裝廠商與之簽訂獨家
  • 自律,給不了Keep自由!

    來源 | 互聯(lián)網品牌官作者 | 李大為編排 | 又耳 審核 | 谷曉輝自律能不能給用戶自由暫時不好說,但大概率不能給Keep自由。近日,全球最大的在線健身平臺Keep正式登陸港交所,努力
  • 消費結構調整丨巨頭低價博弈,拼多多還卷得動嗎?

    來源:征探財經作者:陳香羽隨著流量紅利的退潮,電商的存量博弈越來越明顯。曾經主攻中高端與品質的淘寶天貓、京東重拾“低價”口號。而過去與他們錯位競爭的拼多多,靠
  • 利用職權私自解除被封帳號 Meta開除20多名員工

    11月18日消息,據外媒援引知情人士表示,過去一年時間內,F(xiàn)acebook母公司Meta解雇或處罰了20多名員工以及合同工,指控這些人通過內部系統(tǒng)以不當方式重置用戶帳號,其
Top