秒殺介面地址隱藏：每次點選秒殺按鈕，才會生成秒殺地址，之前是不知道秒殺地址的。不是寫死的，是從服務端獲取，動態拼接而成的地址。（Http協議是明文傳輸，透明的，前端無法控制惡意使用者進行攻擊）安全校驗還是要放在服務端，禁止掉這些惡意服務。

思路：

1.在進行秒殺之前，先請求一個服務端地址，/getmiaoshaPath 這個地址，用來獲取秒殺地址，傳參為 商品id，在服務端生成隨機數（MD5）作為pathId存入快取，（快取過期時間60s），然後將這個隨機數返回給前端.

2.獲得該pathid,後 前端在用這個pathid拼接在Url上作為引數，去請求domiaosha服務

3.後端接收到這個pathid 引數，並且與 快取中的pathid 比較。

如果通過比較，進行秒殺邏輯，如果不通過，丟擲業務異常，非法請求。

/*點選秒殺之後 就訪問後端 獲取一個秒殺地址pathId*/
function getMiaoshaPath() {
    $.ajax({
        url :"/miaosha/getPath",
        type : "GET",
        data:{
            goodsId :$("#goodsId").val(),
            verifyCode : $("#verifyCode").val()
        },
        success:function(data){
            if (data.code ==0) {//
                var path = data.data
                domiaosha(path)
            }else {
                layer.msg(data.message)
            }
        },
        error :function () {
            layer.msg("客戶端錯誤")
        }
    })

}

    function domiaosha(path){
        $.ajax({
            url :"/miaosha/"+path+"/do_miaosha",//安全優化，帶著這個path去訪問
            type : "POST",
            data:{
                goodsId :$("#goodsId").val()
            },
            success:function(data){
                if (data.code ==0) {//成功 就跳轉 訂單頁面 並傳入 orderid
                    // window.location.href= "/order_detail.htm?orderId="+data.data.id;
                    //若果返回成功,即表示收到請求，等待中
                    getMiaoshaResult($("#goodsId").val());
                }else {
                    layer.msg(data.message)
                }
            },
            error :function () {
                layer.msg("客戶端錯誤")
            }
        })
    }

    /**
     * 安全優化之 ---介面地址隨機化(隱藏)
     * 1.點選秒殺之後，先訪問該介面生成一個pathId，並存入redis 返回前端
     * 2.前端帶著這個pathId去訪問秒殺介面，如果傳入的path和從redis取出的不一致，就認為 非法請求
     */
    @AccessLimit(seconds = 5,maxCount = 5,needLogin = true)
    @RequestMapping(value = "/getPath", method = RequestMethod.GET)
    @ResponseBody
    public Result<String> getPath(HttpServletRequest request,MiaoshaUser user, Model model,
                                  @RequestParam("goodsId") long goodsId,
                                  @RequestParam(value = "verifyCode")String verifyCode) {
        if (user == null) {
            return Result.error(CodeMsg.SESSION_ERROR);
        }


        String str = UUIDUtill.uuid();
        /*隨機生成 一個 pathId 返回給前端*/
        String pathId = Md5Util.md5(str + "1111");
        redisService.set(MiaoshaKey.getMiaoshaPath, "" + user.getId() + goodsId, pathId);
 

該操作：可以為了防止，惡意使用者登陸之後，獲取token的情況下，通過不斷呼叫秒殺地址介面，來達到刷單的惡意請求。

每次的url都不一樣，只有真正點選秒殺按鈕，才會根據商品和使用者id生成對應的秒殺介面地址。

但是，這種情況仍然不能解決 利用 按鍵精靈或者 機器人 頻繁點選按鈕的操作，為了降低點選按鈕的次數，以及高併發下，防止多個使用者在同一時間內，併發出大量請求，加入數學公式圖形驗證碼等防高併發優化。