Redis的String类型无法实现滑动窗口限流，因其缺乏按时间范围筛选、排序和清理数据能力；必须使用ZSET配合Lua脚本，通过ZREMRANGEBYSCORE、ZCARD、ZADD等命令原子性完成窗口滑动与统计。
不能。 Redis 的 String 类型无法正确实现滑动窗口限流 —— 它缺少按时间范围动态筛选、排序和清理数据的能力，强行用 INCR + EXPIRE 只能做出固定窗口，不是滑动窗口。
为什么 String 类型做不到滑动窗口
滑动窗口的核心是「保留最近 N 毫秒内所有请求的时间戳，并实时统计其数量」。这要求存储结构支持：
• 按 score（时间）范围查询/删除（ZREMRANGEBYSCORE）
• 按 score 排序插入（ZADD）
• 快速获取当前窗口内元素个数（ZCARD）String 类型只支持整数自增（INCR）和整体过期，它存的只是一个总数，无法区分哪些请求属于“过去 60 秒”，哪些已过期。一旦窗口滑动，旧请求无法被精准剔除。
用 String 实现会遇到哪些具体问题
- 边界突刺：比如 1 分钟限 5 次，用户在第 59 秒发 5 次，第 60 秒发 1 次被放过，第 61 秒又发 5 次——实际 2 秒内就进了 6 次，完全失去限流意义
- 无法降级统计：你想查「过去 30 秒请求量」或「过去 5 秒峰值」，
String没法拆解，只能整个 key 重置或丢弃 - 多粒度失效困难：不同请求的生命周期不同，
EXPIRE是对整个 key 生效，不能为单个请求设独立 TTL - 并发安全假象：虽然
INCR原子，但「判断 + 自增」两步操作在高并发下仍存在竞态（比如两个请求同时读到 count=4，都执行INCR，结果变成 6）
真正该用什么类型 + 怎么做
必须用 ZSET（有序集合），配合 Lua 脚本保证原子性：
-
KEYS[1]设为业务标识，如"login:limit:ip:192.168.1.1" -
ZADD时把score设为毫秒时间戳（System.currentTimeMillis()），member设为唯一请求 ID（如UUID.randomUUID().toString()），避免同毫秒重复覆盖 - Lua 脚本里先
ZREMRANGEBYSCORE key 0 (now - window_ms)清理旧数据，再ZCARD统计，最后ZADD新记录 —— 四步在一个 Redis 原子上下文中完成 - 务必调用
EXPIRE设置 key 过期（建议window_ms / 1000 + 1秒），防止冷 key 永久残留
示例关键 Lua 片段：
local window_start = tonumber(ARGV[1]) - tonumber(ARGV[2])
redis.call('ZREMRANGEBYSCORE', KEYS[1], 0, window_start)
local current_count = redis.call('ZCARD', KEYS[1])
if current_count < tonumber(ARGV[3]) then
redis.call('ZADD', KEYS[1], ARGV[1], ARGV[4])
redis.call('EXPIRE', KEYS[1], math.ceil(tonumber(ARGV[2])/1000)+1)
return 1
else
return 0
end
如果你看到有人用 String 声称实现了“滑动窗口”，大概率是误用了术语，实际是固定窗口或做了取巧妥协（比如每秒建一个新 key）。真要滑动，ZSET 是目前 Redis 唯一可靠、低延迟、可验证的选择 —— 其他方案要么精度失控，要么吞吐扛不住，要么运维成本翻倍。
