如何阻止Node.js API处理同一用户的多并发提现请求？

你的问题核心是并发请求下的竞态条件：多个请求同时读取到用户充足的余额，随后都执行了扣减和打款操作，导致超支。前端加setTimeout完全没用，因为恶意用户可以直接绕过前端逻辑发起并发请求，必须从后端层面解决。以下是几种可靠的方案：

1. 数据库行级锁（最直接的事务性保障） #

在处理提现的数据库事务中，先对用户账户行加排他锁，确保同一时间只有一个请求能读取并修改余额。

伪代码示例（以MySQL为例）： #

-- 开启事务
START TRANSACTION;

-- 锁定用户账户行，其他请求需等待当前事务结束才能读取
SELECT balance FROM user_accounts WHERE user_id = ? FOR UPDATE;

-- 验证余额是否充足
IF balance >= withdraw_amount THEN
    -- 扣减余额
    UPDATE user_accounts SET balance = balance - withdraw_amount WHERE user_id = ?;
    -- 调用支付系统打款
    CALL payment_system_transfer(...);
    -- 提交事务
    COMMIT;
    RETURN 成功;
ELSE
    -- 回滚事务
    ROLLBACK;
    RETURN 余额不足;
END IF;

这种方式通过数据库的事务机制强制请求排队，从根源上避免并发冲突。

2. 分布式锁（跨服务场景适用） #

如果你的API是分布式部署的，用Redis实现用户级的分布式锁，同一时间只允许一个提现请求处理该用户的账户。

伪代码示例： #

# 生成以用户ID为key的锁
lock_key = f"withdraw_lock:{user_id}"
# 尝试获取锁，有效期30秒（防止死锁）
lock_acquired = redis_client.set(lock_key, "locked", ex=30, nx=True)

if not lock_acquired:
    return {"code": 400, "msg": "当前有提现请求处理中，请稍后再试"}

try:
    # 执行余额验证、扣减、打款逻辑
    check_balance_and_withdraw(user_id, amount)
finally:
    # 释放锁
    redis_client.delete(lock_key)

注意：锁的有效期要设置得比正常处理流程的时间长，避免锁提前释放导致并发问题。

3. 乐观锁（高并发场景更优） #

给用户账户表增加version字段，每次更新余额时校验版本号，确保只有当数据未被其他请求修改时才更新成功。

SQL示例： #

-- 查询当前余额和版本号
SELECT balance, version FROM user_accounts WHERE user_id = ?;

-- 验证余额充足后，执行更新，只有version匹配才生效
UPDATE user_accounts 
SET balance = balance - ?, version = version + 1 
WHERE user_id = ? AND version = ? AND balance >= ?;

-- 检查更新影响的行数，如果为0说明并发冲突
IF ROW_COUNT() == 0 THEN
    RETURN {"code": 400, "msg": "请求冲突，请稍后重试"}
END IF;

这种方式不需要加锁，性能更高，但需要处理更新失败的情况，适合高并发的提现场景。

4. 前端辅助防重复（仅作为补充） #

在前端页面中，用户点击提现按钮后立即禁用按钮，直到请求完成或失败。示例代码：

const withdrawBtn = document.getElementById('withdraw-btn');

async function handleWithdraw() {
    withdrawBtn.disabled = true;
    try {
        const response = await fetch('/api/withdraw', {
            method: 'POST',
            headers: {'Content-Type': 'application/json'},
            body: JSON.stringify(yourData)
        });
        const result = await response.json();
        // 处理结果
    } catch (error) {
        // 处理错误
    } finally {
        withdrawBtn.disabled = false;
    }
}

注意：这只是辅助手段，不能替代后端的并发控制，因为用户可以通过代码直接发起请求。

内容的提问来源于stack exchange，提问作者awesome webber