Lua OpenResty 网关开发：动态路由、限流熔断与请求日志收集

一、为什么选择OpenResty做网关？

说到网关开发，很多人会想到Spring Cloud Gateway或者Kong。但如果你需要极致的性能和对Nginx生态的深度掌控，OpenResty绝对是你的不二之选。它就像是给Nginx装上了Lua这个超级引擎，让静态的Nginx瞬间拥有了动态超能力。

想象一下，你正在开发一个电商平台，高峰期每秒要处理上万次API请求。这时候你需要：

根据用户身份动态路由到不同服务集群
对突发流量进行精准限流
在服务不可用时自动熔断
完整记录每个请求的上下文

这些需求用传统方式实现起来相当复杂，但用OpenResty配合Lua脚本，就像搭积木一样简单。下面这段代码展示了如何用几行Lua实现基础路由：

location /api {
    access_by_lua_block {
        -- 从Cookie中获取用户类型
        local user_type = ngx.var.cookie_user_type or "normal"
        
        -- 根据用户类型路由到不同上游
        if user_type == "vip" then
            ngx.var.upstream = "vip_cluster"
        else
            ngx.var.upstream = "default_cluster"
        end
    }
    
    proxy_pass http://$upstream;
}

二、动态路由的魔法实现

动态路由是网关最核心的功能之一。不同于传统的配置文件方式，我们可以实现运行时动态调整路由规则。这就像给网关装上了实时导航系统，随时根据路况调整路线。

来看个完整示例，我们结合Redis实现动态路由表：

location /dynamic_route {
    access_by_lua_block {
        local redis = require "resty.redis"
        local red = redis:new()
        
        -- 连接Redis
        local ok, err = red:connect("127.0.0.1", 6379)
        if not ok then
            ngx.log(ngx.ERR, "failed to connect to Redis: ", err)
            return ngx.exit(500)
        end
        
        -- 获取请求路径
        local path = ngx.var.request_uri
        
        -- 从Redis获取路由配置
        local route, err = red:hget("gateway:routes", path)
        if not route then
            ngx.log(ngx.ERR, "failed to get route: ", err)
            return ngx.exit(404)
        end
        
        -- 设置上游地址
        ngx.var.target = route
    }
    
    proxy_pass http://$target;
}

这个方案有几个亮点：

路由规则修改后立即生效，无需重启
支持基于路径、Header、参数等多种路由条件
配合Redis集群可以实现跨节点路由同步

三、限流与熔断的防御艺术

没有防护措施的网关就像不设防的城堡。我们来打造一套立体防御系统：

3.1 令牌桶限流实现

location /api/order {
    access_by_lua_block {
        local limit_req = require "resty.limit.req"
        
        -- 每秒10个请求，突发不超过20个
        local limiter = limit_req.new("my_limit_store", 10, 20)
        
        -- 使用客户端IP作为限流key
        local key = ngx.var.remote_addr
        local delay, err = limiter:incoming(key, true)
        
        if not delay then
            if err == "rejected" then
                return ngx.exit(503)
            end
            ngx.log(ngx.ERR, "failed to limit req: ", err)
            return ngx.exit(500)
        end
        
        -- 请求被延迟处理
        if delay > 0 then
            ngx.sleep(delay)
        end
    }
    
    proxy_pass http://order_service;
}

3.2 熔断保护机制

location /api/payment {
    access_by_lua_block {
        local circuit_breaker = require "resty.circuitbreaker"
        
        -- 配置熔断器：10秒内错误率超过50%就熔断
        local cb = circuit_breaker.new({
            timeout = 10,
            max_fail = 5,
            reset_timeout = 30
        })
        
        -- 检查是否熔断
        if cb:is_open() then
            ngx.header["X-Circuit-Breaker"] = "open"
            return ngx.exit(503)
        end
        
        -- 记录请求开始
        cb:before_request()
    }
    
    proxy_pass http://payment_service;
    
    log_by_lua_block {
        local cb = circuit_breaker:get()
        
        -- 根据响应状态更新熔断器状态
        if ngx.status >= 500 then
            cb:after_request(false) -- 标记失败
        else
            cb:after_request(true) -- 标记成功
        end
    }
}

这套组合拳能有效防止系统雪崩，特别是在大促期间特别管用。

四、请求日志的黄金矿工

日志不是简单的记录，而是待挖掘的金矿。好的日志系统要满足：

结构化存储
关键业务字段提取
低性能损耗

log_by_lua_block {
    local cjson = require "cjson"
    local log_data = {
        time = ngx.localtime(),
        host = ngx.var.host,
        uri = ngx.var.request_uri,
        status = ngx.status,
        upstream_time = ngx.var.upstream_response_time,
        client_ip = ngx.var.remote_addr,
        user_agent = ngx.var.http_user_agent,
        referer = ngx.var.http_referer,
        request_length = ngx.var.request_length,
        request_id = ngx.var.request_id
    }
    
    -- 提取JWT中的用户ID
    local auth_header = ngx.var.http_authorization
    if auth_header then
        local jwt = require "resty.jwt"
        local token = string.match(auth_header, "Bearer%s+(.+)")
        if token then
            local claim = jwt:verify("your-secret", token)
            if claim.valid then
                log_data.user_id = claim.payload.sub
            end
        end
    end
    
    -- 发送到Kafka
    local kafka_producer = require "resty.kafka.producer"
    local producer = kafka_producer.new("kafka_cluster", {
        producer_type = "async"
    })
    
    local ok, err = producer:send("gateway_logs", nil, cjson.encode(log_data))
    if not ok then
        ngx.log(ngx.ERR, "failed to send log to kafka: ", err)
    end
}

五、实战经验与避坑指南

在多个生产环境落地后，我总结出这些宝贵经验：

性能调优：
- 启用Lua代码缓存：lua_code_cache on
- 共享内存大小要合理：lua_shared_dict limit_store 100m
- 避免在Lua中做阻塞IO操作

异常处理：

local function safe_call()
    local ok, ret = pcall(function()
        -- 危险操作
        return some_unsafe_operation()
    end)

    if not ok then
        ngx.log(ngx.ERR, "operation failed: ", ret)
        return nil
    end
    return ret
end

灰度发布技巧：

location /api {
    access_by_lua_block {
        -- 按5%比例灰度
        if math.random() < 0.05 then
            ngx.var.upstream = "new_version"
        else
            ngx.var.upstream = "old_version"
        end
    }
}

六、技术选型的思考

OpenResty方案的优势：

性能碾压传统方案（QPS轻松破万）
直接基于Nginx生态，运维成本低
Lua语法简单但功能强大

需要注意的短板：

Lua调试工具链不够完善
复杂业务逻辑可能难以维护
需要熟悉Nginx配置体系

最佳适用场景：

需要极高并发的API网关
基于流量的动态控制
七层负载均衡与协议转换

七、总结与展望

经过上面的探索，我们已经打造出了一个功能完善的API网关。但这只是起点，未来还可以：

集成OpenTelemetry实现全链路追踪
开发可视化规则配置界面
支持WebAssembly插件扩展
实现自动扩缩容策略

网关作为流量入口，它的稳定性和性能直接决定了整个系统的表现。OpenResty给我们提供了一把瑞士军刀，关键在于如何用好它。记住：没有最好的技术，只有最合适的技术。

敲码拾光专注于编程技术，涵盖编程语言、代码实战案例、软件开发技巧、IT前沿技术、编程开发工具，是您提升技术能力的优质网络平台。