Nginx 动态黑名单需绕过重启实现实时生效，主流方案有三：一是 Lua+Redis 实时校验，低延迟、支持 IPv6；二是 map+include+文件监听，轻量但需 reload 或 inotify 辅助；三是 geo 指令配合定时脚本同步，延迟秒级。
在 Nginx 中实现黑名单 IP 的动态更新同步，核心是绕过重启服务的前提下，让 Nginx 实时加载最新封禁列表。纯靠内置模块（如 ngx_http_access_module）静态配置无法动态生效，必须结合外部机制协同工作。
用 Lua 脚本 + Redis 实现运行时 IP 黑名单校验
这是最常用且低延迟的方案：Nginx 通过 lua-resty-redis 模块直连 Redis，每次请求时实时查询 IP 是否在黑名单中。Redis 作为中心存储，支持外部程序（如 Python 脚本、日志分析器）增删黑名单，无需触碰 Nginx 配置。
- 需编译安装 OpenResty 或启用 Nginx 的 Lua 支持（如
nginx-module-lua） - 在
http块中初始化 Redis 连接池，避免频繁建连 - 在
access_by_lua_block中执行查询逻辑，命中则调用ngx.exit(403) - 示例片段：
access_by_lua_block { local redis = require "resty.redis" local red = redis:new() red:set_timeout(1000) red:connect("127.0.0.1", 6379) local ip = ngx.var.remote_addr local ok, res = red:sismember("ip_blacklist", ip) if res == 1 then ngx.exit(403) end }
用 map + include + 文件监听实现轻量级动态加载
适合中小流量场景，不依赖额外组件。原理是将黑名单 IP 写入独立文件（如 /usr/local/nginx/conf/blacklist.map），通过 map 指令映射为变量，再用 if 或 deny 控制访问。关键在于让 Nginx 自动重载该文件内容。
- 配置示例：
map $remote_addr $blocked { include /usr/local/nginx/conf/blacklist.map; default 0; } server { if ($blocked) { return 403; } } -
blacklist.map内容格式为："192.168.1.100" 1;（每行一条，IP 加引号和分号） - 更新黑名单后，执行
nginx -s reload即可生效；若希望免 reload，可用inotifywait监听文件变化并自动触发 reload
借助第三方模块如 nginx-http-rdns 或 geo 指令配合定时同步
利用 Nginx 原生 geo 指令生成 IP 映射变量，配合外部脚本定期生成配置文件并热重载。相比 Lua 方案更轻量，但有秒级延迟。
- 定义
geo块：geo $blocked_ip { default 0; include /path/to/blacklist_geo.conf; } - 外部脚本（如每分钟执行一次）从数据库或 API 拉取最新黑名单，生成
blacklist_geo.conf，内容形如：192.168.1.100 1; - 脚本末尾调用
nginx -s reload或使用nginx -t && kill -s HUP $(cat /var/run/nginx.pid)
注意事项与边界情况
动态黑名单不是“开箱即用”的功能，需关注几个实际问题：
- IPv6 地址需单独处理，
geo和map对 IPv6 支持有限，Lua 方案更通用 - 高并发下 Redis 查询可能成为瓶颈，建议开启连接池、设置超时、加本地缓存（如
lua-resty-lrucache） - 避免把黑名单全量加载进内存（如用
include加载数万条规则），会导致配置解析慢、reload 卡顿 - 务必限制黑名单更新频率，防止恶意刷写导致服务不稳定
