基于Servlet过滤器的简易限流能否完全防御DDOS避免应用宕机

即便你的限流逻辑、应用业务编码均无问题，仍然存在DDoS攻击导致应用宕机的可能性，核心风险点如下：

• 过滤器生效前的资源耗尽风险。你的限流逻辑在Servlet过滤器中执行，而请求需要先完成TCP三次握手、被Tomcat分配处理线程、完成基础请求解析后才会进入过滤器链。攻击者可发起SYN洪水类的网络层攻击，直接占满服务器的TCP连接队列，甚至打满入口带宽，合法请求根本无法到达应用层，限流逻辑完全没有生效机会；就算是应用层攻击，瞬间请求量远超Tomcat最大线程数时，容器线程池会在限流计数生效前被占满，直接导致服务不可用。
• 慢连接攻击风险。你当前的限流规则仅基于请求数计数，未考虑请求持有线程的时长。攻击者只要申请足够多的租户账号，每个租户发起5个慢请求（比如调用响应慢的接口、故意极慢发送请求数据），就能快速占满750个全局请求槽位，且这些请求会长时间占用HTTP线程不释放，后续所有合法请求都会被拒绝，等同于服务宕机。
• 分布式部署场景的限流失效风险。如果你的应用是多实例集群部署，单机750的全局阈值无法限制集群总请求量，攻击者只要把请求均匀打散到所有实例，还是能轻松打垮整个集群；就算是单机部署，如果计数器没有做严格的原子性保障，高并发场景下可能出现计数偏差，导致实际运行的请求数超过阈值，进而打满Tomcat线程。

内容的提问来源于stack exchange，提问作者saurav